Веб-сайты могут собирать информацию об адресах всех остальных сайтов, открытых в других вкладках и окнах. В Apple ошибку исправили, но пакет обновлений для пользователей пока не подготовлен.
Специалисты сервиса FingerprintJS обнаружили серьезную ошибку в браузере Safari. Она связана с реализацией в браузере интерфейса базы данных IndexedDB, который часто используется веб-сайтами для сохранения информации на стороне пользователя. Проблема заключается в том, что при взаимодействии веб-сайта с IndexedDB в Safari во всех остальных открытых вкладках, окнах и фреймах браузера создаются новые пустые базы данных с тем же именем, что и в исходной вкладке.
Хотя данные из исходной вкладки в них не попадают, само имя базы данных обычно несет в себе информацию о веб-сайте, который ее использует. Иногда веб-сайты включают в имя базы данных даже уникальные идентификаторы пользователей. К таким сайтам относятся, например, YouTube, Google Calendar и Google Keep. Таким образом, узнав имя базы данных, посторонний сайт узнает и идентификатор пользователя Google, через который можно извлечь некоторые сведения о пользователе — как минимум, изображение в профиле.
В Apple, судя по записям в системе контроля исходного кода движка WebKit, который используется в браузере Safari, уже нашли и исправили ошибку. Но пакет исправлений для конечных пользователей пока не подготовлен.
