A Mozilla corrigiu uma falha de privacidade que permitia rastrear usu\u00e1rios mesmo em navega\u00e7\u00e3o privada. A vulnerabilidade, identificada como CVE-2026-6770, impactava Firefox e Tor Browser, com efeitos persistentes ao fim de sess\u00f5es. A corre\u00e7\u00e3o chegou em 21 de abril de 2026.<\/p>\n
O problema estava ligado ao IndexedDB, uma API que armazena dados localmente. Em modo privado, o navegador expunha identificadores est\u00e1veis gerados internamente, permitindo rastreamento entre abas e origens sem cookies. A falha tornou poss\u00edvel vincular visitas subsequentes.<\/p>\n
Sites poderiam observar a ordem devolvida pela API para criar uma impress\u00e3o digital determin\u00edstica do navegador. O identificador era mantido ativo durante toda a sess\u00e3o do navegador, mesmo ap\u00f3s fechar janelas privadas.<\/p>\n
A Mozilla divulgou as corre\u00e7\u00f5es para Firefox 150 e ESR 140.10.0, al\u00e9m de atualiza\u00e7\u00f5es do Thunderbird, todas lan\u00e7adas em 21 de abril de 2026. O Tor Project respondeu com o Tor Browser 15.0.10 para conter o rastreamento.<\/p>\n
A falha ocorria por causa da forma como o Gecko implementa a API indexedDB.databases(). A tabela hash global armazenava UUIDs, compartilhados entre origens, gerando uma sequ\u00eancia determin\u00edstica. A t\u00e9cnica n\u00e3o exigia credenciais.<\/p>\n
A solu\u00e7\u00e3o consistiu em ordenar os resultados da API em ordem can\u00f4nica antes de devolv\u00ea-los \u00e0 p\u00e1gina. Assim, permanece a utilidade da API sem manter a entropia determin\u00edstica interna. A medida evita o fingerprinting descrito sem alterar a fun\u00e7\u00e3o b\u00e1sica.<\/p>\n
Usu\u00e1rios que n\u00e3o atualizaram permanecem vulner\u00e1veis ao fingerprinting descrito. A corre\u00e7\u00e3o elimina a entropia usada pelos atacantes, preservando a funcionalidade da API para desenvolvedores. N\u00e3o houve necessidade de configura\u00e7\u00e3o ou intera\u00e7\u00e3o do usu\u00e1rio.<\/p>\n","protected":false},"excerpt":{"rendered":"