Orange Tsai يحصل على 175,000 دولار عن سلسلة ثغرات منطقية في Edge تصل إلى تنفيذ كود على Windows
نشر الباحث Orange Tsai من شركة DEVCORE في 28 أكتوبر 2026 تفاصيل سلسلة ثغرات في متصفح Edge، عرضها في Pwn2Own Berlin 2026، وحصل عنها على 175,000 دولار و17.5 نقطة في ترتيب Master of Pwn. والسلسلة تنتهي بتنفيذ كود على Windows، ولا تحتوي على ثغرة ذاكرة واحدة.
فكل حلقاتها أخطاء منطق:
- فحص أصل الصفحة في EdgeCAGuidanceNavigationThrottle كان ينظر إلى التبويب الحالي فقط، فأمكن تجاوزه بـ window.open.
- مانع النوافذ المنبثقة احتوى على قائمة سماح مكتوبة يدويًا، فيمكن فتح نافذة مسموحة ثم توجيهها إلى موقع آخر.
- بروتوكول read:// الخاص بـ Immersive Reader كان غائبًا عن قائمة حظر البروتوكولات المميّزة.
- إعداد CORS خاطئ على نطاق فرعي سرّب بريد المستخدم المسجّل.
- دالة zipDiagnosticLogFiles لضغط ملفات السجل قبلت مسارًا يخرج من مكانه، مع بايت فارغ يحذف الامتداد.
وحين أصبح الباحث قادرًا على كتابة ملف في أي مكان، كتب في ملف الإعدادات الذي يحدد لـ Windows البرنامج الذي يفتح كل بروتوكول. ثم استدعى بروتوكولًا، ففتح النظام برنامجًا وضعه هو. وكود الاستغلال كله أقل من 100 سطر، واستغرق البحث شهرين.
ويذكر الباحث للمقارنة أن Chrome سجّل أكثر من 3,000 ثغرة في 5 سنوات، أقل من 20 منها في فحوص أصل الصفحة. وأهمية السلسلة أن أيًّا من أخطائها لم تكن لغة مثل Rust لتمنعه، ولا أداة fuzzing لتكتشفه، لأنها أخطاء تصميم. وهي من النوع نفسه الذي يظهر في تطبيقات الويب العادية.
ويكتب الباحث في الختام أنه أنجز هذا العمل يدويًا قبل أن يبدأ استخدام coding agents في مارس، وأنه يرى قيمة العمل اليدوي ترتفع في وقت يُعتقد فيه أن النماذج تجد الثغرات وحدها.