Publié le 28 octobre 2026, le compte rendu technique d’Orange Tsai détaille une chaîne d’exploit logique contre Microsoft Edge, démontrée à Pwn2Own Berlin le 14 mai. Elle part d’une navigation liée à l’onglet actif et aboutit à l’exécution de code hors du bac à sable du navigateur. Microsoft avait inscrit les correctifs associés dans Edge Stable 148.0.3967.70 le 15 mai.
Le mécanisme à l’origine de l’UXSS
Orange Tsai, chercheur chez DEVCORE, explique que la première faille venait d’une navigation lancée par le processus du navigateur sans association explicite avec la page qui l’avait déclenchée. Chromium utilisait alors l’onglet actif comme origine de la navigation. Si l’onglet actif changeait avant son déclenchement, un script pouvait s’exécuter dans le contexte d’un autre site.
Ce comportement produisait une UXSS, ou cross-site scripting universel : une forme de faille qui permet à un script de s’exécuter dans le contexte d’un autre site. La chaîne décrite par Tsai enchaînait ensuite des mécanismes d’authentification d’Edge, une erreur de configuration CORS sur assets.msn.com qui exposait l’adresse e-mail du compte connecté dans son scénario, puis des fonctions d’Edge et de Windows. Selon son compte rendu, ces étapes permettaient de sortir du bac à sable, l’environnement isolé qui limite ce qu’une page peut faire, et d’exécuter du code hors de celui-ci. La chaîne ne reposait pas sur la corruption de mémoire.
L’annonce de la Zero Day Initiative intégrée au billet de Tsai attribue à la démonstration une récompense de 175 000 dollars américains et 17,5 points Master of Pwn.
Ce que montrent les deux démonstrations
La démonstration principale d’Orange Tsai aboutit à l’ouverture de Calculatrice après l’exploitation d’Edge. Elle illustre le résultat de la chaîne présentée au concours.
Une autre séquence montre le mouvement inverse : un script lance Calculatrice, puis Microsoft Edge, qui ouvre le site de HITCON 2026. Tsai décrit ce suivi séparé comme une chaîne Windows permettant de lancer Edge depuis calc.exe.
La version d’Edge associée aux correctifs
Dans son entrée de sécurité du 15 mai 2026, Microsoft répertorie les corrections associées à la chaîne pour Edge Stable 148.0.3967.70. Les CVE concernés sont CVE-2026-45492, CVE-2026-45494 et CVE-2026-45495.
