cookie stealing / same-domain bypass vulnerability
+ статья по теме в The Register

Upd: предлагается такой способ устранения уязвимости:
в about:config создать строчный параметр capability.policy.default.Location.hostname.set со значением noAccess и перезапустить Firefox
В моём случае параметр не был создан (не отображается в списке)