CVE-2020-26954
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podczas akceptowania złośliwego intencji z innych zainstalowanych aplikacji, Firefox for Android akceptował manifesty z dowolnych ścieżek plików i pozwalał na deklarowanie manifestów aplikacji webowych dla innych źródeł. Może to być użyte do uzyskania dostępu pełnoekranowego w celu fałszowania interfejsu użytkownika oraz może prowadzić do ataków cross-origin na docelowe strony. Podatność dotyczy tylko Firefox for Android i wpływa na wersje przed 83.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków phishingowych lub cross-origin, co może naruszyć bezpieczeństwo użytkowników i danych.
Rekomendacja
Zaktualizuj Firefox for Android do wersji 83 lub nowszej, aby wyeliminować podatność.
Inne podatności w Firefox for Android
Zobacz wszystkie- CVE-2023-29534Krytyczne
W Firefoksie i Focus dla Androida odkryto techniki umożliwiające ukrycie powiadomienia o pełnym ekranie, co mogło prowadzić do dezorientacji użytkownika i ataków typu spoofing. Problem dotyczy wersji Firefox dla Androida i Focus dla Androida starszych niż 112.
- CVE-2026-74975Średnie
Występuje problem polegający na podszywaniu się (spoofing) w komponencie Pobieranie (Downloads) w przeglądarce Firefox dla systemu Android. Podatność została naprawiona w Firefoksie 154.
- CVE-2026-18809Średnie
Ujawnienie informacji w przeglądarce Firefox dla Androida i Firefox Focus dla Androida. Podatność została naprawiona w Firefoksie 153.0.3.
- CVE-2026-16397Średnie
Podatność typu clickjacking w komponencie WebExtensions w przeglądarce Firefox dla Androida. Luka została naprawiona w Firefoksie 153.
- CVE-2026-16373Wysokie
Podatność w komponencie Privacy w przeglądarce Firefox dla systemu Android. Luka prowadzi do ujawnienia informacji. Problem został naprawiony w Firefoksie 153.
- CVE-2023-29546Średnie
Podczas nagrywania ekranu w trybie prywatnym w przeglądarce Firefox dla Androida pasek adresu i klawiatura nie były ukrywane, co mogło prowadzić do wycieku wrażliwych informacji. Podatność dotyczy tylko Firefoksa dla Androida i Focusa dla Androida w wersjach starszych niż 112.
- CVE-2023-25747Wysokie
Potencjalna podatność use-after-free w libaudio, naprawiona przez wyłączenie backendu AAudio na Androidzie poniżej wersji 30. Dotyczy tylko Firefox for Android przed wersją 110.1.0.
- CVE-2022-38474Średnie
Strona internetowa, która miała uprawnienia do dostępu do mikrofonu, mogła nagrywać dźwięk bez wyświetlania powiadomienia o nagrywaniu. Ta wada nie pozwala atakującemu ominąć prośby o uprawnienia - dotyczy tylko powiadomienia wyświetlanego po przyznaniu uprawnień. Podatność dotyczy tylko Firefox dla Android i wpływa na Firefox < 104.
- CVE-2020-26977Średnie
Próbując połączyć się z witryną przez nieodpowiadający port, atakujący mógł kontrolować zawartość karty, podczas gdy pasek adresu wyświetlał oryginalną domenę. Podatność dotyczy Firefox for Android < 84.
- CVE-2020-26975Średnie
Złośliwa aplikacja na urządzeniu użytkownika może wysłać Intent do Firefox for Android z dowolnymi nagłówkami, co może prowadzić do ataków takich jak nadużycie uprawnień otoczenia lub fiksacji sesji. Problem rozwiązano, zezwalając tylko na określone bezpieczne nagłówki. Podatność dotyczy Firefox < 84.
Oryginalny opis (angielski, źródło NVD)
When accepting a malicious intent from other installed apps, Firefox for Android accepted manifests from arbitrary file paths and allowed declaring webapp manifests for other origins. This could be used to gain fullscreen access for UI spoofing and could also lead to cross-origin attacks on targeted websites. *Note: This issue only affected Firefox for Android. Other operating systems are unaffected.*. This vulnerability affects Firefox < 83.