Im Zentrum der Schwachstelle steht die IndexedDB-Schnittstelle, die Browser zum clientseitigen Speichern strukturierter Daten nutzen. Firefox legt die Namen der zugehörigen Datenbanken über interne UUID-Zuordnungen ab. Fragt eine Website die vorhandenen Datenbanken ab, erhält sie die Liste in einer bestimmten Reihenfolge – und diese Reihenfolge bleibt über verschiedene Websites hinweg identisch, solange derselbe Browser-Prozess aktiv ist.
Genau dieses stabile Muster lässt sich als Erkennungsmerkmal missbrauchen. Voneinander unabhängige Websites können die identische Reihenfolge jeweils für sich beobachten und daraus ableiten, dass es sich um denselben Nutzer handelt. Eine Verknüpfung über mehrere Domains hinweg wird so möglich, ohne dass Cookies oder gemeinsam genutzter Speicher im Spiel sind. Der Fingerabdruck überdauert dabei sowohl das Neuladen einer Seite als auch das Öffnen neuer privater Sitzungen – erst ein vollständiger Neustart des Browsers setzt ihn zurück.
Damit greift die Lücke auch dort, wo Nutzer eigentlich Schutz vor Wiedererkennung erwarten: im Privatmodus von Firefox und beim Einsatz der „New Identity"-Funktion des Tor Browsers. Diese Funktion soll Verlauf, Cookies und aktive Verbindungen löschen, um zu verhindern, dass sich die Aktivität eines Nutzers über verschiedene Seiten hinweg zusammenführen lässt.
Nach Darstellung der Forscher untergräbt der stabile Identifikator diese Trennung: „Im Tor Browser hebelt der stabile Identifikator die Isolation der ‚New Identity’-Funktion innerhalb eines laufenden Browser-Prozesses faktisch aus und erlaubt es Websites, Sitzungen zu verknüpfen, die eigentlich vollständig voneinander getrennt sein sollten."
Mozilla hat CVE-2026-6770 mit der Veröffentlichung von Firefox 150 geschlossen. Das Unternehmen stuft die Schwachstelle als mittelschwer ein und beschreibt sie lediglich als „anderes Problem in der Komponente Storage: IndexedDB". Das Tor-Projekt hat den Patch ebenfalls übernommen und ihn kürzlich mit Tor Browser 15.0.10 an seine Nutzer ausgeliefert.