tl;dv-nin Firestore bazası altı ay açıq qaldı: 181 874 görüş qeydi

BobDaHacker təxəllüsü ilə yazan təhlükəsizlik tədqiqatçısı, iki milyondan çox istifadəçisi olan AI əsaslı görüş yazma platforması tl;dv haqqında ətraflı hesabat dərc edib: şirkətin Firestore bazası tenant izolyasiyası olmadan buraxılıb və boşluq altı aydan çox müddətdə düzəldilməyib.

Nə açıq qalmışdı

tl;dv Google Meet, Zoom və Teams zənglərinə bot göndərir, onları yazır, transkript və AI xülasələri hazırlayır. Qeydiyyatdan sonra istifadəçiyə JWT verilir; bu token gw.tldv.io/v1/users/firebase/token ünvanında Firebase tokeninə dəyişdirilir və lmi-store layihəsindəki Firestore bazasına giriş imkanı yaradır.

Tədqiqatçının sözlərinə görə, meetings kolleksiyasında tenant izolyasiyası yox idi, yəni autentifikasiya olunmuş istənilən istifadəçi platformadakı bütün hesabların görüş qeydlərini oxuya bilirdi. Hər qeyd təşkilatçının e-poçt ünvanını, konfrans ID-sini — qoşulmaq mümkün olan Google Meet və ya Teams otağını — yazma statusunu və zaman nişanlarını açıqlayırdı. recording statusunda olan görüşlərin ID-ləri canlı zənglərə işarə edirdi; istənilən anda belə görüşlərin sayı təxminən 1000 idi.

Tədqiqatçı boşluğu praktikada da yoxladığını bildirir: 157-dən çox iştirakçısı olan Malayziya Təhsil Nazirliyinin canlı Google Meet görüşünə və ABŞ universitetinin tələbələrinin zənginə qoşulub.

Miqyas

Açıq kolleksiyada 35.003 e-poçt domenindən 84.312 unikal istifadəçiyə aid 181.874 görüş qeydi var idi. Onların arasında 23 ölkədən hökumət görüşləri (Braziliya, Ukrayna, Filippin, Meksika, Malayziya və İsrail də daxil olmaqla), Berkeley və Tokio Universitetinin görüşləri, həmçinin HubSpot, Confluent və Mitsui-Soko kimi şirkətlərin korporativ qeydləri yer alırdı.

Ən sıx ay 2025-ci ilin iyulu olub — 43.209 görüş; ən sıx vaxt isə UTC ilə 14:00-da çərşənbə günü (7.804 görüş). Tədqiqatçı həmçinin 27.334 görüş ID-sini yoxlayıb və 1000-dən çoxunun açıq olduğunu müəyyən edib; həmin qeydlərdə 228 domendən 715 dəvətli e-poçtu görünürdü.

Bildiriş prosesi

Tədqiqatçı boşluq barədə 28 yanvar 2026-cı ildə məlumat verib: əvvəlcə LinkedIn vasitəsilə şirkət nümayəndəsinə, sonra CTO-ya e-poçtla. Onun sözlərinə görə, fevral və martda bir neçə dəfə xatırladıb, cavab almayıb, iyulun sonunda isə baza hələ də açıq idi. tl;dv-nin təhlükəsizlik səhifəsi SOC 2, GDPR və EU AI Act uyğunluğunu elan edir və təhlükəsizlik bildirişlərinə 24 saat ərzində cavab veriləcəyini vəd edir.

Hesabata görə, users, chats, transcripts və recordings kimi digər kolleksiyalar düzgün şəkildə 403 qaytarır. Tədqiqatçı tl;dv-ni eyni qaydaları meetings kolleksiyasına tətbiq etməyə, daxili Dünya Kuboku proqnoz tətbiqini qorumağa və ya silməyə, təhlükəsizlik tədqiqatçılarına cavab verməyə çağırır.