Orange Tsai publicó el 28 de octubre de 2026 su explicación técnica de una cadena de fallos lógicos en Microsoft Edge, demostrada en Pwn2Own Berlin el 14 de mayo. Microsoft había incluido correcciones para tres vulnerabilidades relacionadas en Edge Stable 148.0.3967.70, publicado el 15 de mayo.
El análisis describe cómo una navegación asociada a la pestaña activa pudo dar lugar a una ejecución universal de secuencias de comandos entre sitios, conocida como UXSS, y cómo la cadena llegó a ejecutar código fuera del sandbox de Edge, el aislamiento del navegador. Tsai afirma que no hubo corrupción de memoria.
Cómo una navegación mal asociada abrió la cadena
Según Tsai, el primer fallo estaba en una navegación iniciada por el proceso del navegador para un flujo de inicio de sesión de acceso condicional empresarial. La navegación no quedaba vinculada al contenido de origen mediante source_contents. Chromium recurría entonces a la pestaña activa para determinar el origen.
Si se cambiaba de pestaña antes de que se completara esa navegación, el JavaScript podía ejecutarse con el origen del sitio abierto en la pestaña activa. Ese comportamiento proporcionaba la UXSS: código ejecutado en el contexto de otro sitio, en vez del sitio que había iniciado la navegación.
La cadena continuaba con fallos y funciones de Edge y Windows. En el escenario descrito por Tsai, el perfil de Edge tenía una sesión iniciada; una configuración CORS de assets.msn.com permitía que la página accediera al correo de la cuenta. Después, la cadena aprovechaba Immersive Reader y una función interna de registros de diagnóstico para escribir un archivo, y combinaba esa capacidad con la configuración de protocolos de Edge y funciones de Windows. El resultado descrito fue la salida del sandbox y la ejecución de código.
Tsai dijo que dedicó dos meses a la investigación y que el exploit ocupaba menos de 100 líneas de código. El anuncio de Zero Day Initiative incluido en su publicación atribuyó a la demostración un premio de 175.000 dólares estadounidenses y 17,5 puntos de Master of Pwn.
Qué muestran los dos clips
En la grabación de la demostración principal se ve Microsoft Edge 148.0.3967.54 y, al final de la secuencia, la apertura de Calculadora. Esa es la compilación que aparece en la demostración; la versión de Edge Stable que Microsoft publicó después con las correcciones fue la 148.0.3967.70.
El clip de Calculadora y Edge corresponde a una secuencia distinta, en dirección inversa: primero aparecen varias ventanas de Calculadora y luego se abre Edge en el sitio de HITCON 2026. Tsai describió ese seguimiento como una forma de invertir la dirección de la cadena principal, que partía de Edge y llegaba a ejecutar código fuera de su sandbox.
La versión de Edge que incluyó las correcciones
En sus notas de seguridad, Microsoft registró Edge Stable 148.0.3967.70 el 15 de mayo de 2026, con correcciones para CVE-2026-45492, CVE-2026-45494 y CVE-2026-45495.
