{"id":169865,"date":"2026-04-23T18:24:28","date_gmt":"2026-04-23T16:24:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser"},"modified":"2026-04-23T18:24:28","modified_gmt":"2026-04-23T16:24:28","slug":"uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","title":{"rendered":"Vulnerabilidade na API IndexedDB permite identificar usu\u00e1rios do Firefox e do Tor Browser","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi identificada uma vulnerabilidade no motor de browser Gecko (CVE-2026-6770), que permite a forma\u00e7\u00e3o de identificadores \u00fanicos para rastreamento de visitas a diferentes sites a partir de um \u00fanico navegador. O problema se manifesta em todos os navegadores baseados no Firefox, incluindo o Tor Browser, e funciona mesmo no modo de navega\u00e7\u00e3o privada. Os identificadores s\u00e3o v\u00e1lidos dentro do processo atual do navegador e s\u00e3o redefinidos ap\u00f3s a reinicializa\u00e7\u00e3o do navegador. A vulnerabilidade foi corrigida nas vers\u00f5es Firefox 150\/140.10.0 e Tor Browser 15.0.10. <\/p>\n
Para formar um identificador, \u00e9 suficiente criar uma sequ\u00eancia de bancos de dados atrav\u00e9s da API IndexedDB em diferentes sites. Em seguida, avalie a ordem de apresenta\u00e7\u00e3o desses bancos de dados como resultado da chamada do m\u00e9todo indexedDB.databases(). Para diferentes inst\u00e2ncias do navegador, a ordem de listagem dos bancos de dados ser\u00e1 diferente, mas para uma \u00fanica inst\u00e2ncia, repetir\u00e1. Essa ordem \u00e9 mantida at\u00e9 que o navegador seja reiniciado e se reproduz independentemente do site aberto. <\/p>\n
Por exemplo, ap\u00f3s criar o banco de dados \u00aba,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r\u00bb em uma inst\u00e2ncia do Firefox, o m\u00e9todo indexedDB.databases() sempre retornar\u00e1 \u00abg,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k\u00bb e em outra inst\u00e2ncia \u2014 \u00abj,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l\u00bb. Ao criar 16 bancos de dados, pode-se obter cerca de 44 bits de entropia para identifica\u00e7\u00e3o. A gera\u00e7\u00e3o do identificador n\u00e3o \u00e9 afetada pela limpeza dos armazenamentos locais do navegador e pela atualiza\u00e7\u00e3o da cadeia de n\u00f3s Tor com o bot\u00e3o \u00abNova Identidade\u00bb no Tor Browser. O m\u00e9todo tamb\u00e9m pode ser usado para identificar usu\u00e1rios em uma janela de navega\u00e7\u00e3o privada. <\/p>\n
A vulnerabilidade \u00e9 causada pela maneira como a API IndexedDB \u00e9 implementada, na qual a ordem de listagem dos bancos de dados \u00e9 influenciada pela disposi\u00e7\u00e3o das estruturas internas, que \u00e9 espec\u00edfica para cada inst\u00e2ncia do processo de trabalho do navegador. A ordem dos elementos na lista de bancos de dados retornada pelo m\u00e9todo indexedDB.databases() depende n\u00e3o dos nomes dos bancos de dados ou da ordem de cria\u00e7\u00e3o, mas da localiza\u00e7\u00e3o das UUIDs internas na tabela hash global, associadas aos nomes dos arquivos em que os bancos de dados s\u00e3o armazenados no disco. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"