Исследователь Orange Tsai представил для Pwn2Own Berlin 2026 полную цепочку взлома Microsoft Edge, построенную только на логических ошибках. Ему не понадобились повреждение памяти и AI-инструменты. Работа заняла два месяца и позже получила награду Epic Achievement на Pwnie Awards.
Отправной точкой стал EdgeCAGuidanceNavigationThrottle — механизм, который помогает выбирать рабочий профиль при входе в Microsoft-аккаунт. Он запускал новую навигацию из привилегированного Browser Process, но не привязывал её к исходной вкладке. Если вовремя переключиться на другую, Chromium использовал уже активную вкладку как источник. Так появилась Universal XSS: JavaScript мог выполняться в контексте чужого сайта.
Чтобы сделать атаку практичной, пришлось связать ещё несколько слабостей. Проверку доверенного источника обошли навигацией из другого окна, блокировку popup — жёстко заданным исключением Microsoft. Функция OneAuth сама создавала авторизованный профиль, а неправильная настройка CORS на assets.msn.com позволяла узнать email пользователя. Вместе это убрало необходимость в кликах и предварительных данных.
Для выхода за пределы браузерной песочницы пригодился Immersive Reader. Его привилегированная схема read:// оказалась забыта в списке запрещённых для JavaScript URL. Через неё исследователь добрался до функции упаковки диагностических логов и получил возможность записывать файлы с выбранным именем и содержимым.
Последним звеном стал AutoLaunchProtocolsComponent. Его конфигурация protocols.json разрешала запускать внешние обработчики протоколов, а обработчик telnet искал исполняемый файл в доступной пользователю папке. После замены конфигурации цепочка привела к выполнению кода в Windows.
Автор видит в sourceless navigation новую поверхность для UXSS и намерен проверить похожий подход в Chrome. Отказ от AI здесь — не принципиальная позиция: он активно пользуется агентами в других проектах, но эту работу успел закончить раньше, чем начал их применять.