Выяснилось, что парсер в браузере Android неправильно обрабатывает нулевые байты (u0000), из-за чего нарушается правило ограничения домена. Уязвимость изначально нашли больше двух недель назад, но специалисты не сразу осознали весь масштаб происшедшего. Сейчас точно подтверждено, что уязвимость присутствует на всех устройствах и во всех версиях Android до 4.4. Подробнее - http://xakep.ru/news/aosp-browser-sop/
