Reports
MEDIA[AUTENTICACIÓN]#3693295

Brave para iOS: abrir un elemento de Playlist en pestaña privada se saltaba el bloqueo con Face ID

En Brave para iOS, la opción "Open in a New Private Tab" de Brave Playlist abría las pestañas privadas sin pedir Face ID ni código, aunque esa protección estuviese activada. Bastaba acceso físico al móvil.

Resumen
Resumen en castellano de un reporte público, no una traducción literal. El código y los comandos se mantienen como en el original.

Resumen

Brave para iOS permite proteger las pestañas privadas con Face ID o con el código del dispositivo: para volver a verlas hay que autenticarse. El investigador aaront encontró un camino que esquivaba esa comprobación: Brave Playlist, la función del navegador para guardar audio y vídeo.

Al mantener pulsado un elemento de la lista aparece un menú con la opción "Open in a New Private Tab". Esa acción abría el modo privado directamente, sin pedir Face ID ni código, y con ello daba acceso al contenido de las pestañas privadas.

Es un fallo de autenticación (HackerOne lo clasifica como Improper Authentication - Generic) en el que el atacante necesita acceso físico al teléfono. Se comprobó en estas versiones:

Brave iOS version: 1.88
iOS version: 26.4.2

El reporte se envió el 24 de abril de 2026 y se divulgó el 28 de mayo de 2026. Brave pagó una recompensa, pero el importe no es público.

Pasos de reproducción

  1. En los ajustes de Brave, activar la protección con Face ID para las pestañas privadas y la opción de conservarlas (Keep Private Tabs).
  2. Abrir el modo privado y visitar cualquier web.
  3. Salir de las pestañas privadas y añadir cualquier canción o audio a Brave Playlist. En la prueba de concepto se usó un vídeo de YouTube.
  4. Entrar en Brave Playlist y buscar el elemento recién añadido.
  5. Mantenerlo pulsado hasta que aparezca el menú desplegable.
  6. Elegir "Open in a New Private Tab".

El navegador pasa al modo privado sin pedir Face ID ni código, y el contenido de las pestañas privadas queda accesible.

Impacto

Alguien con acceso físico al dispositivo podía ver el contenido de las pestañas privadas de Brave aunque su dueño las hubiese protegido con Face ID o código, que es justo lo que esa protección pretende evitar.

Remediación

Brave hizo que abrir una nueva pestaña privada desde Brave Playlist también exija Face ID (o el código).