CVE-2026-34976Dgraph是一个开源分布式GraphQL数据库。在25.3.1版本之前，其`restoreTenant`管理接口未在授权中间件配置中正确注册，导致该接口完全无需认证即可访问。攻击者可利用此漏洞，通过控制备份源URL（包括`file://`协议）、S3/MinIO凭证等参数，执行未经授权的操作。该漏洞可能导致数据库被覆盖、服务器端敏感文件读取以及SSRF攻击。
该漏洞的根本原因在于Dgraph服务端在处理管理员操作时的权限校验逻辑缺失。具体而言，`restoreTenant`接口在代码实现中未经过身份验证中间件的保护，直接暴露于公网接口。攻击者通过构造特制的GraphQL请求，调用`restoreTenant` mutation，并在参数中指定外部URL或本地文件路径。利用`file://`前缀，攻击者可读取服务器上的敏感配置文件；利用S3/MinIO参数，可探测内网服务（SSRF）；通过上传恶意备份数据，可直接重写数据库内容。由于该接口权限极高，且无任何认证门槛，攻击者可在无需交互的情况下完全控制数据层，造成严重的机密性、完整性和可用性损失。