Eu tentei usar o jeito de gerar documentado como "Obtenção do payment_token pelo back-end" e também tive o problema do CORS.
@Efí ! Não rola de retornar os cabeçalhos de CORS lá no endpoint de geração de paymentToken, não?
Acabei usando o outro método, mas sem colocar o Javascript no index.html.
Uso Angular e acabei criando um componente que carrega o Javascript e faz o que precisa fazer, como se fosse aquele script gerado na documentação, na hora que o componente carrega. Assim toda essa parte da geração de paymentToken não é executada para todo mundo que acessa o site, só pra quem vai na parte de finalização de compra mesmo.