Falha no Firefox permitia rastrear usuários do Tor sem cookies
Uma vulnerabilidade descoberta no Firefox, que também afetava o Tor Browser, permitia que sites criassem um identificador único para usuários, possibilitando o rastreamento de atividades entre diferentes domínios sem o uso de cookies ou outras formas explícitas de tracking. A falha, identificada como CVE-2026-6770, já foi corrigida.
MundiX News·02 de maio de 2026·4 min de leitura·👁 5 views
Pesquisadores da empresa FingerprintJS identificaram uma vulnerabilidade que afeta todos os navegadores baseados no Firefox, incluindo o Tor Browser. O problema permitia que sites criassem um identificador de usuário estável e rastreassem sua atividade entre diferentes domínios sem a necessidade de cookies, localStorage ou quaisquer outros sinais explícitos de rastreamento.
A falha recebeu a identificação CVE-2026-6770 e foi classificada pela Mozilla com um grau de severidade médio. A vulnerabilidade já foi corrigida no Firefox 150 e no ESR 140.10.0. Os desenvolvedores do Tor Project também lançaram um patch como parte do Tor Browser 15.0.10.
Conforme explicado pelos pesquisadores, a raiz do problema residia na API IndexedDB, utilizada para armazenar dados estruturados no lado do cliente. Quando um site cria bancos de dados IndexedDB e, em seguida, solicita uma lista deles através de indexedDB.databases(), o Firefox os retorna em uma ordem determinada pela estrutura interna de sua tabela hash, e não na ordem de criação. No modo de navegação privada, o Firefox não utiliza os nomes dos bancos de dados diretamente; em vez disso, eles são mapeados para UUIDs através de uma tabela hash global. Essa tabela não está vinculada a um site específico, mas sim a todo o processo do navegador e permanece ativa enquanto o Firefox estiver em execução. Consequentemente, a ordem em que indexedDB.databases() retorna os resultados torna-se idêntica para quaisquer sites dentro do mesmo processo, funcionando efetivamente como um identificador único.
Como exemplo, os especialistas descrevem uma situação simples: dois sites diferentes executam o mesmo script que cria um conjunto de bancos de dados com nomes fixos e, em seguida, solicita a lista deles. Ambos os sites recebem a mesma permutação (a lista de bancos de dados na mesma ordem), que não muda nem ao recarregar a página, nem ao abrir novas janelas privadas, e nem mesmo após fechar todas as janelas privadas (desde que o processo do Firefox continue em execução). Os especialistas observam que, se um site controlar 16 nomes de bancos de dados, o número de permutações possíveis é de 16!, o que resulta em aproximadamente 44 bits de entropia. Isso é mais do que suficiente para identificar uma instância específica do navegador.
Para o Tor Browser, essa falha se mostrou particularmente crítica, pois o identificador era capaz de "sobreviver" até mesmo ao reset da sessão através da função "New Identity", que deveria zerar completamente o estado do navegador, limpar cookies, histórico e estabelecer uma nova rota pela rede Tor. Ou seja, o mecanismo no qual os usuários confiam para quebrar a ligação entre sessões deixava de funcionar. A correção para este problema foi simples: adicionar uma ordenação aos resultados de indexedDB.databases() em ordem canônica (por exemplo, lexicográfica) antes de retorná-los, o que impede a exposição do estado interno do armazenamento.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
Pesquisadores da empresa FingerprintJS identificaram uma vulnerabilidade que afeta todos os navegadores baseados no Firefox, incluindo o Tor Browser. O problema permitia que sites criassem um identificador de usuário estável e rastreassem sua atividade entre diferentes domínios sem a necessidade de cookies, localStorage ou quaisquer outros sinais explícitos de rastreamento.
A falha recebeu a identificação CVE-2026-6770 e foi classificada pela Mozilla com um grau de severidade médio. A vulnerabilidade já foi corrigida no Firefox 150 e no ESR 140.10.0. Os desenvolvedores do Tor Project também lançaram um patch como parte do Tor Browser 15.0.10.
Conforme explicado pelos pesquisadores, a raiz do problema residia na API IndexedDB, utilizada para armazenar dados estruturados no lado do cliente. Quando um site cria bancos de dados IndexedDB e, em seguida, solicita uma lista deles através de indexedDB.databases(), o Firefox os retorna em uma ordem determinada pela estrutura interna de sua tabela hash, e não na ordem de criação. No modo de navegação privada, o Firefox não utiliza os nomes dos bancos de dados diretamente; em vez disso, eles são mapeados para UUIDs através de uma tabela hash global. Essa tabela não está vinculada a um site específico, mas sim a todo o processo do navegador e permanece ativa enquanto o Firefox estiver em execução. Consequentemente, a ordem em que indexedDB.databases() retorna os resultados torna-se idêntica para quaisquer sites dentro do mesmo processo, funcionando efetivamente como um identificador único.
Como exemplo, os especialistas descrevem uma situação simples: dois sites diferentes executam o mesmo script que cria um conjunto de bancos de dados com nomes fixos e, em seguida, solicita a lista deles. Ambos os sites recebem a mesma permutação (a lista de bancos de dados na mesma ordem), que não muda nem ao recarregar a página, nem ao abrir novas janelas privadas, e nem mesmo após fechar todas as janelas privadas (desde que o processo do Firefox continue em execução). Os especialistas observam que, se um site controlar 16 nomes de bancos de dados, o número de permutações possíveis é de 16!, o que resulta em aproximadamente 44 bits de entropia. Isso é mais do que suficiente para identificar uma instância específica do navegador.
Para o Tor Browser, essa falha se mostrou particularmente crítica, pois o identificador era capaz de "sobreviver" até mesmo ao reset da sessão através da função "New Identity", que deveria zerar completamente o estado do navegador, limpar cookies, histórico e estabelecer uma nova rota pela rede Tor. Ou seja, o mecanismo no qual os usuários confiam para quebrar a ligação entre sessões deixava de funcionar. A correção para este problema foi simples: adicionar uma ordenação aos resultados de indexedDB.databases() em ordem canônica (por exemplo, lexicográfica) antes de retorná-los, o que impede a exposição do estado interno do armazenamento.
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
