For native-to-JS bridging, the app requires a unique token to be passed that ensures non-app code can't call the bridging functions.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• mozilla firefox mobileдо 25.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (mozilla). Не зависят от анализа CPE в NVD и обычно опережают его.

• Mozilla Firefox for iOS

  • unspecified и новее · до 25затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-84135Other issue in Firefox Focus for Android
  39Наблюдать
• CVE-2023-49060An attacker could have accessed internal pages or data by ex-filtrating a security key from ReaderMode via the `referrerpolicy` attribute.
  39Наблюдать
• CVE-2026-84117Privilege escalation in Firefox for Android
  35Наблюдать
• CVE-2024-7523A select option could partially obscure security prompts.
  32Наблюдать
• CVE-2021-29993Firefox for Android allowed navigations through the `intent://` protocol, which could be used to cause crashes and UI spoofs.
  32Наблюдать
• CVE-2026-16373Information disclosure in the Privacy component in Firefox for Android
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.