{"id":169865,"date":"2026-04-23T18:24:28","date_gmt":"2026-04-23T16:24:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser"},"modified":"2026-04-23T18:24:28","modified_gmt":"2026-04-23T16:24:28","slug":"uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","title":{"rendered":"Vulnerabilidad en la API IndexedDB que permite identificar a los usuarios de Firefox y Tor Browser","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha descubierto una vulnerabilidad en el motor de navegaci\u00f3n Gecko (CVE-2026-6770) que permite generar identificadores \u00fanicos para rastrear la apertura de diferentes sitios desde un mismo navegador. El problema se manifiesta en todos los navegadores basados en Firefox, incluyendo Tor Browser, y funciona incluso en modo de navegaci\u00f3n privada. Los identificadores est\u00e1n activos dentro del proceso actual del navegador y se restablecen despu\u00e9s de reiniciar el navegador. La vulnerabilidad ha sido corregida en las versiones de Firefox 150\/140.10.0 y Tor Browser 15.0.10. <\/p>\n
Para generar un identificador, es suficiente crear a trav\u00e9s de la API IndexedDB la misma secuencia de bases de datos en diferentes sitios, despu\u00e9s de lo cual se puede evaluar el orden de estas bases de datos como resultado de la llamada al m\u00e9todo indexedDB.databases(). Para diferentes instancias del navegador, el orden de enumeraci\u00f3n de las bases de datos ser\u00e1 diferente, pero para una misma instancia ser\u00e1 consistente. Este orden se conserva hasta que se reinicie el navegador y se reproduce independientemente del sitio web que se est\u00e9 abriendo. <\/p>\n
Por ejemplo, despu\u00e9s de crear la base de datos \u00aba,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r\u00bb en una instancia de Firefox, el m\u00e9todo indexedDB.databases() siempre devolver\u00e1 \u00abg,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k\u00bb; mientras que en otra instancia devolver\u00e1 \u00abj,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l\u00bb. Al crear 16 bases de datos, se puede obtener alrededor de 44 bits de entrop\u00eda para la identificaci\u00f3n. La generaci\u00f3n del identificador no se ve afectada por la limpieza de los almacenes locales del navegador y la actualizaci\u00f3n de la cadena de nodos Tor mediante el bot\u00f3n \u00abNueva Identidad\u00bb en el navegador Tor. Este m\u00e9todo tambi\u00e9n se puede usar para identificar a los usuarios en una ventana de navegaci\u00f3n privada. <\/p>\n
La vulnerabilidad es causada por la peculiaridad en la implementaci\u00f3n de la API IndexedDB, donde el orden de las bases de datos es influenciado por la disposici\u00f3n de las estructuras internas, especificas para cada instancia del proceso del navegador. El orden de los elementos en la lista de bases de datos devuelta por el m\u00e9todo indexedDB.databases() no depende de los nombres de las bases de datos ni del orden de su creaci\u00f3n, sino de la ubicaci\u00f3n en la tabla hash global de los UUID internos, asociados con los nombres de archivo en los que se almacenan las bases de datos en el disco. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"