{"id":169865,"date":"2026-04-23T18:24:28","date_gmt":"2026-04-23T16:24:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser"},"modified":"2026-04-23T18:24:28","modified_gmt":"2026-04-23T16:24:28","slug":"uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","title":{"rendered":"Ranjivost u API-ju IndexedDB koja omogu\u0107ava identifikaciju korisnika Firefox i Tor Browser-a","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
U browserskom engine-u Gecko otkrivena je ranjivost (CVE-2026-6770) koja omogu\u0107uje generiranje jedinstvenih identifikatora za pra\u0107enje otvaranja razli\u010ditih web mjesta iz jednog preglednika. Problem se manifestira u svim preglednicima temeljenim na Firefoxu, uklju\u010duju\u0107i Tor Browser, i radi \u010dak i u privatnom re\u017eimu pregledavanja. Identifikatori djeluju unutar trenutnog procesa preglednika i bri\u0161u se nakon ponovnog pokretanja preglednika. Ranjivost je ispravljena u verzijama Firefox 150\/140.10.0 i Tor Browser 15.0.10. <\/p>\n
Za formiranje identifikatora, dovoljno je na razli\u010ditim stranicama kreirati putem API-ja IndexedDB istu sekvencu baza podataka, nakon \u010dega se ocjenjuje redoslijed tih baza podataka kao rezultat poziva metode indexedDB.databases(). Za razli\u010dite instance preglednika redoslijed nabrajanja baza podataka \u0107e se razlikovati, ali \u0107e se za jednu instancu ponavljati. Ovaj redoslijed se \u010duva do ponovnog pokretanja preglednika i reproducira neovisno o otvorenoj stranici. <\/p>\n
Na primjer, nakon kreiranja baze podataka 'a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r' u jednoj instanci Firefox-a, metoda indexedDB.databases() uvijek \u0107e vra\u0107ati 'g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k' dok \u0107e u drugo instanci biti 'j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l'. Kod kreiranja 16 baza podataka mo\u017ee se dobiti oko 44 bita entropije za identifikaciju. Na generaciju identifikatora ne utje\u010de \u010di\u0161\u0107enje lokalnih pregledni\u010dkih spremi\u0161ta i a\u017euriranje lanca Tor \u010dvorova pritiskom na dugme 'Nova identitet' u Tor pregledniku. Metoda se tako\u0111er mo\u017ee koristiti za identifikaciju korisnika u prozoru privatnog pregleda. <\/p>\n
Ranjivost je uzrokovana osobitostima implementacije API-ja IndexedDB, na redoslijed baza podataka u kojoj utje\u010de raspored unutarnjih struktura specifi\u010dan za svaku instancu radnog procesa preglednika. Redoslijed elemenata u popisu baza podataka, koji vra\u0107a metoda indexedDB.databases(), ne ovisi o imenima baza podataka ili redoslijedu stvaranja baza podataka, ve\u0107 o polo\u017eaju u globalnoj hash-tablici unutarnjih UUID hashova, asociranih s imenima datoteka u kojima se baze podataka pohranjuju na disku. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"