« J’espérais participer à Pwn2Own avec une entrée complète en chaîne pour Firefox, mais malheureusement, elle a été rejetée. J’ai signalé la vulnérabilité à l’équipe de Mozilla », écrit un chercheur sous le pseudonyme @ggwhyp. Il existe très peu d’informations disponibles sur ce chercheur. Dans une vidéo, l’auteur démontre un exemple d’exécution de code à distance (RCE). Un utilisateur ouvre une page web locale dans le navigateur ; ensuite, un script caché contourne les mécanismes de sécurité internes et s’échappe de la sandbox du navigateur 🤔 En conséquence, Windows lance automatiquement l’invite de commandes et l’application calculatrice, démontrant ainsi un contrôle total sur la machine cible. L’auteur de ce fil prévoyait de présenter cette découverte lors du célèbre tournoi de piratage Pwn2Own. Lors de ces compétitions, les chercheurs en cybersécurité reçoivent de importantes récompenses en argent pour démontrer des exploits réussis de logiciels populaires. Les organisateurs du tournoi ont rejeté la candidature du chercheur. La raison pourrait être une duplication d’une faille déjà connue ou un non-respect des règles. Suite à ce rejet, l’auteur a agi conformément à l’éthique professionnelle en soumettant directement les détails de la vulnérabilité à l’équipe de développement de Mozilla afin qu’un correctif de sécurité soit rapidement appliqué.