Op 28 oktober 2026 publiceerde Orange Tsai van DEVCORE zijn technische uitleg van een Microsoft Edge-keten die met logische fouten leidde tot universele cross-sitescripting (UXSS), een ontsnapping uit de browser-sandbox en code-uitvoering daarbuiten. Tsai had de keten op 14 mei bij Pwn2Own Berlin gedemonstreerd; die demonstratie leverde hem $175.000 en 17,5 Master of Pwn-punten op. Microsoft vermeldde op 15 mei fixes voor de bijbehorende kwetsbaarheden in Edge Stable.
De fout koppelde een navigatie aan het actieve tabblad
Volgens Tsai begon de keten bij een navigatie die Edge voor een Conditional Access-aanmelding startte. Het browserproces legde daarbij niet vast welk tabblad de bron was. Chromium gebruikte vervolgens het actieve tabblad. Daardoor kon de navigatie, als iemand vóór de uitvoering naar een ander tabblad wisselde, terechtkomen in de beveiligingscontext van die andere website. De resulterende UXSS gaf de keten toegang tot een pagina alsof het script daar vandaan kwam.
Voor het verdere verloop beschrijft Tsai onder meer een aangemeld Edge-profiel, een CORS-configuratiefout waardoor in zijn scenario het e-mailadres van de gebruiker zichtbaar werd, en functies van Edge en Windows. Immersive Reader leverde met het aangepaste read://-schema een route langs een beperking op JavaScript-URL’s. Daarna kon een interne diagnostische logfunctie een bestand schrijven; via de protocolconfiguratie kon de keten code buiten de browser-sandbox uitvoeren. Tsai beschrijft de methode als een keten van logische fouten en gewone browser- en Windows-functies, zonder geheugenbeschadiging.
De Calculator-naar-Edge-clip toont een aparte richting
In de tweede demonstratie verschijnen eerst vensters van Calculator en start daarna Microsoft Edge. Dat is een afzonderlijke vervolgdemonstratie in de omgekeerde richting van de hoofdketen, die vanuit Edge code buiten de sandbox uitvoerde. Tsai beschrijft daarnaast een Windows-RCE die de keten omkeert en Edge vanuit calc.exe kan openen.
Microsofts historische vermelding van de fixes
Microsofts release notes vermelden op 15 mei 2026 Edge Stable-versie 148.0.3967.70 met fixes voor CVE-2026-45492, CVE-2026-45494 en CVE-2026-45495.
