Встроенный "почти" бэкдор:
https://hg.mozilla.org/mozilla-central/diff/39e131181d44/too...
в виде списка URI (extensions.webextensions.restrictedDomains), на которых отключены дополнения, включая антитрекинговые. Список можно отредактировать в about:config, но обычно, когда обнаруживают, что аддоны не работают, скрипты на страницах уже отработали. Бекдор имеет двукратное резервирование: если страница не классифицированна как доверенная по первому списку, в дело вступает список, захардкоженный в C++ коде:
https://dxr.mozilla.org/mozilla-central/rev/c2593a3058afdfea...
где использование которого контроллируется "скрытой" (не существующей и не ищещейся, пока сам не создашь, privacy.resistFingerprinting.block_mozAddonManager) с таким именем, что и не догадаешься, что это она, и вторая настройка отвечает не только за блокировку дополнений, но и за API установки дополнений.