CVE-2026-78413

Velociraptor, uç noktalardan Artifacts şeklinde paketlenmiş VQL sorgularının toplanmasına izin verir. Bu artifact'ler herhangi bir işlem yapmak için kullanılabilir ve genellikle yüksek yetkilerle çalıştırılır. Bazı tehlikeli artifact'lere erişimi sınırlamak için Velociraptor, bunların başlatılması için EXECVE gibi yüksek izinler gerektirmesine olanak tanır. `Windows.Sysinternals.SysmonLogForward`, sysmon olaylarını sunucuya iletmek için kullanılan bir izleme artifact'idir. Söz konusu artifact, kullanıcının parametre olarak rastgele bir ikili dosya yolu belirtmesine izin vermekteydi ve ek bir zorunlu izin uygulamuyordu; bu durum, COLLECT_CLIENT izinlerine sahip kullanıcıların (normalde "Investigator" rolü tarafından verilen) bunu uç noktalardan toplamasını ve yüklü sysmon ikili dosyası yerine farklı bir ikili program çalıştırmasını mümkün kılıyordu. Bu zafiyetin başarıyla istismar edilebilmesi için kullanıcının halihazırda uç noktadan artifact toplama erişimine sahip olması gerekir (yani tipik olarak "Investigator" rolü tarafından verilen COLLECT_CLIENT iznine sahip olmalıdır).