Um arquivo JavaScript publicamente acessível na página inicial do ClickUp tem vazado silenciosamente quase mil endereços de e-mail corporativos e governamentais, incluindo funcionários de Fortinet, Home Depot, Tenable, Mayo Clinic e trabalhadores do governo dos estados dos EUA, através de uma chave de API de terceiros embutida que foi relatada pela primeira vez em janeiro de 2025 e permanece não rotacionada até abril de 2026.
Exposição de segredos hardcoded
A exposição foi descoberta por um pesquisador de segurança que visitou a página inicial do ClickUp, inspecionou o código-fonte da página e encontrou uma chave de API hardcoded embutida diretamente em um arquivo JavaScript, que carrega antes de qualquer autenticação de usuário ocorrer. Uma única solicitação GET não autenticada usando a chave retornou 959 endereços de e-mail e 3.165 flags de recursos internos, exigindo credenciais, bypass ou ferramentas sofisticadas.
Dados vazados abrangem uma seção alarmante da paisagem corporativa e governamental: funcionários da Home Depot, Fortinet, Autodesk, Tenable, Rakuten, Mayo Clinic, Permira e do escritório de advocacia Akin Gump, juntamente com trabalhadores governamentais do Wyoming, Arkansas, Carolina do Norte, Montana, Queensland (Austrália) e Nova Zelândia, além de um contratante da Microsoft e 71 funcionários do ClickUp.
Alvos de alto valor no raio de explosão
A exposição carrega um peso particular, dado quem é afetado. A Fortinet fabrica firewalls empresariais usados globalmente para defender infraestrutura crítica. A Tenable constrói o Nessus, o scanner de vulnerabilidade implantado em uma parte significativa da indústria de cibersegurança. Ter endereços de e-mail de funcionários dessas organizações expostos através de uma falha de gerenciamento de segredos em uma plataforma de produtividade cria uma superfície de ataque direta para phishing direcionado, credential stuffing e campanhas de engenharia social contra as próprias empresas encarregadas de defender os outros.
As 3.165 flags de recursos internos vazadas junto com os e-mails são igualmente preocupantes, revelando sinais de desenvolvimento de produtos internos, recursos beta e configurações de teste A/B que poderiam auxiliar na inteligência competitiva ou facilitar o abuso direcionado da plataforma.
Demora na correção e responsabilidade
A vulnerabilidade foi relatada pela primeira vez ao ClickUp via HackerOne em 17 de janeiro de 2025. Até o final de abril de 2026, mais de 15 meses depois, a chave de API não havia sido rotacionada. O pesquisador confirmou que os dados ainda estavam ativos, tendo puxado a resposta completa minutos antes da divulgação tornar-se pública. Isso não é um zero-day. É uma vulnerabilidade conhecida não corrigida sentada em produção, colhendo PII empresarial silenciosamente por mais de um ano.
O ClickUp levantou 535 milhões de dólares com uma avaliação de 4 bilhões de dólares e afirma publicamente que 85% da Fortune 500 usa sua plataforma. Segredos hardcoded em JavaScript do lado do cliente permanecem uma das classes de vulnerabilidade mais bem documentadas e evitáveis no desenvolvimento web moderno, tornando essa falha ainda mais difícil de justificar na escala e nas expectativas de postura de segurança do ClickUp.
Implicações regulatórias e LGPD
A exposição de dados de funcionários de empresas globais levanta questões sérias sobre conformidade com a LGPD e regulamentos de privacidade de dados. Organizações que utilizam o ClickUp devem avaliar se a exposição de seus dados de contato viola acordos de nível de serviço ou obrigações de notificação de violação. A falha de gerenciamento de segredos também pode ser vista como uma falha de due diligence de terceiros.
Medidas de mitigação recomendadas
As organizações devem revisar imediatamente seus contratos com provedores de SaaS para garantir cláusulas de segurança robustas. Administradores de TI devem monitorar listas de vazamento de dados para endereços de e-mail corporativos associados ao ClickUp. Além disso, a implementação de autenticação multifator (MFA) em todas as contas corporativas é essencial para mitigar o risco de credential stuffing decorrente da exposição de e-mails.
O que os CISOs devem fazer imediatamente
Os CISOs devem exigir do ClickUp uma confirmação pública da correção e um plano de ação para a rotação de segredos. É crucial revisar os logs de acesso para identificar se houve tentativas de uso da chave exposta. A conscientização dos funcionários sobre phishing direcionado deve ser reforçada, dado que os atacantes agora possuem listas de e-mail validadas de funcionários de empresas de segurança.
Perguntas frequentes
O ClickUp reconheceu a exposição? Até o momento da publicação, o ClickUp não reconheceu publicamente a exposição contínua.
Quais empresas foram afetadas? Funcionários de Fortinet, Tenable, Home Depot, Autodesk, Mayo Clinic e governos de vários estados e países.