Mozilla har täppt till en sårbarhet i Firefox som även fanns i Tor Browser och som gick att använda för att spåra användare över internet. Buggen fanns i webbläsarens IndexedDB-funktion och fungerade även i Firefox privata läge. I Tor Browser överlevde buggen även funktionen Ny identitet, som ska nollställa webbläsaren helt.
Sårbarheten upptäcktes av forskare på företaget Fingerprint och har fått beteckningen CVE-2026-6770. Den är åtgärdad i Firefox 150, Firefox ESR 140.10 och Tor Browser 15.0.10, som släpptes den 21 april 2026. Användare uppmanas att uppdatera till de senaste versionerna.
Så fungerar buggen
IndexedDB är ett gränssnitt som låter webbplatser lagra data i webbläsaren inför framtida besök. När en användare besöker en preparerad webbplats eller exponeras för en preparerad annons kan en angripare skapa en IndexedDB-databas i webbläsaren.
Felet ligger i att IndexedDB returnerar innehållet i samma ordning vid varje förfrågan. Den ordningen utgör ett fingeravtryck som kan användas för att känna igen samma användare på olika webbplatser så länge webbläsaren är igång. Först när den startas om helt byts fingeravtrycket ut.
En aktör som driver flera webbplatser kan på så vis matcha besökare mot kända fingeravtryck och följa deras rörelser, även om de använder privat läge eller väljer Ny identitet i Tor Browser.
Påverkar både Firefox och Tor Browser
Eftersom problemet finns i Firefox-motorn Gecko och i hur IndexedDB är implementerat påverkas även Tor Browser, som bygger på Firefox.
Mozillas säkerhetsmeddelande beskriver inte hur sårbarheten åtgärdats. Forskarna bakom upptäckten anser att IndexedDB inte bör exponera sin interna lagringsordning, eller att innehållet bör returneras i en förutbestämd ordning.
Källa: Risky Bulletin: New fingerprinting technique can track Tor users
Senast faktagranskad: 23 oktober 2026. Senast uppdaterad: 27 oktober 2026