CVE-2026-18809

W Firefoksie i Focus dla Androida odkryto techniki umożliwiające ukrycie powiadomienia o pełnym ekranie, co mogło prowadzić do dezorientacji użytkownika i ataków typu spoofing. Problem dotyczy wersji Firefox dla Androida i Focus dla Androida starszych niż 112.

Występuje problem polegający na podszywaniu się (spoofing) w komponencie Pobieranie (Downloads) w przeglądarce Firefox dla systemu Android. Podatność została naprawiona w Firefoksie 154.

Podatność typu clickjacking w komponencie WebExtensions w przeglądarce Firefox dla Androida. Luka została naprawiona w Firefoksie 153.

Podatność w komponencie Privacy w przeglądarce Firefox dla systemu Android. Luka prowadzi do ujawnienia informacji. Problem został naprawiony w Firefoksie 153.

Podczas nagrywania ekranu w trybie prywatnym w przeglądarce Firefox dla Androida pasek adresu i klawiatura nie były ukrywane, co mogło prowadzić do wycieku wrażliwych informacji. Podatność dotyczy tylko Firefoksa dla Androida i Focusa dla Androida w wersjach starszych niż 112.

Potencjalna podatność use-after-free w libaudio, naprawiona przez wyłączenie backendu AAudio na Androidzie poniżej wersji 30. Dotyczy tylko Firefox for Android przed wersją 110.1.0.

Strona internetowa, która miała uprawnienia do dostępu do mikrofonu, mogła nagrywać dźwięk bez wyświetlania powiadomienia o nagrywaniu. Ta wada nie pozwala atakującemu ominąć prośby o uprawnienia - dotyczy tylko powiadomienia wyświetlanego po przyznaniu uprawnień. Podatność dotyczy tylko Firefox dla Android i wpływa na Firefox < 104.

Próbując połączyć się z witryną przez nieodpowiadający port, atakujący mógł kontrolować zawartość karty, podczas gdy pasek adresu wyświetlał oryginalną domenę. Podatność dotyczy Firefox for Android < 84.

Złośliwa aplikacja na urządzeniu użytkownika może wysłać Intent do Firefox for Android z dowolnymi nagłówkami, co może prowadzić do ataków takich jak nadużycie uprawnień otoczenia lub fiksacji sesji. Problem rozwiązano, zezwalając tylko na określone bezpieczne nagłówki. Podatność dotyczy Firefox < 84.

Podatność w Firefox dla Androida, dotycząca funkcji zdalnego debugowania przez USB, która była aktywna na Androidzie w wersji starszej niż 6.0. Niezaufane aplikacje mogły połączyć się z tą funkcją i działać z uprawnieniami przeglądarki, czytając i modyfikując treści internetowe.