CVE-2026-9656
Açıklama
WordPress için geliştirilen HubSpot All-In-One Marketing – Forms, Popups, Live Chat eklentisinin 11.3.62 dahil tüm sürümleri, wp_localize_script() / window.leadinConfig JavaScript nesnesi üzerinden Hassas Bilgi İfşası (Sensitive Information Exposure) zafiyetine sahiptir. Bu durum, katkıda bulunan (contributor) ve üzeri yetkiye sahip kimliği doğrulanmış saldırganların, window.leadinConfig JavaScript nesnesi aracılığıyla ifşa edilen sitenin düz metin HubSpot OAuth yenileme belirtecini (refresh token) çıkarmasına olanak tanır; bu belirteç daha sonra bağlı HubSpot kiracısındaki verilere erişmek veya bunları değiştirmek için kullanılabilir. Yenileme belirteci durağan haldeyken AES-256-CTR şifreleme ile saklansa da, düz metin değer wp_localize_script() fonksiyonuna aktarılmadan önce sunucu tarafında şifresi çözülmektedir ve bu durum durağan veri şifrelemesini bu ifşa yolu karşısında etkisiz kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hubspotdev HubSpot All-In-One Marketing – Forms, Popups, Live Chat | v ≤ 11.3.62 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.