Mozilla waarschuwt gebruikers van Firefox voor Android voor een kwetsbaarheid waardoor aanvallen met malafide qr-codes mogelijk zijn. Een beveiligingsupdate is echter beschikbaar. Het beveiligingslek doet zich voor bij het verwerken van een url afkomstig van een gescande qr-code. Hierdoor is universal cross-site scripting mogelijk.

In tegenstelling tot normale cross-site scripting, waarbij er misbruik wordt gemaakt van kwetsbare webapplicaties, maakt universal cross-site scripting misbruik van kwetsbaarheden binnen de browser. Hierdoor is het mogelijk om het gedrag van de browser aan te passen en bijvoorbeeld beveiligingsfeatures te omzeilen of uit te schakelen.

Een aanvaller kan op deze manier niet alleen toegang tot een gecompromitteerde sessie van een kwetsbare webpagina krijgen, maar tot sessies van alle websites die op dat moment zijn geopend. In sommige gevallen kan universal cross-site scripting worden gebruikt om uiteindelijk, bijvoorbeeld in combinatie met andere kwetsbaarheden, remote code execution mogelijk te maken.

Mozilla heeft de impact van de kwetsbaarheid als 'high' beoordeeld. Het gaat dan om beveiligingslekken waarmee gevoelige data van websites in andere vensters is te stelen of data en code in die sites is te injecteren, waarbij alleen het bezoeken van een malafide of gecompromitteerde website voldoende is. Door middel van het injecteren van code is het mogelijk om phishingaanvallen op geopende websites uit te voeren, die lastiger voor gebruikers zijn te detecteren. Gebruikers van Firefox voor Android wordt aangeraden te updaten naar Firefox 94.