Ambas as falhas permitem ultrapassar o que se designa por política da mesma origem ou Same Origin Policy.
Esta política é um mecanismo de segurança dos browsers que faz com que uma página web ou script de uma origem não consigam interagir com um recurso de outra origem, prevenindo assim que sites externos e não relacionados interfiram.
De forma a explorar esta falha, o atacante só precisa de levar a vítima a abrir um site malicioso e dessa forma consegue-lhe roubar informações sensíveis de outras páginas visíveis nesse mesmo browser.
Como são falhas "zero day", os utilizadores não podem fazer nada, para já, até que a Microsoft consiga reconhecer e lançar um patch.
Fonte: https://securityaffairs.co/wordpress/83080/hacking/microsoft-browser-zero-day.html
