tl;dv'nin Firestore veritabanı altı ay açık kaldı: 181.874 toplantı kaydı

BobDaHacker takma adıyla yazan bir güvenlik araştırmacısı, iki milyondan fazla kullanıcısı olan yapay zekâ destekli toplantı kayıt platformu tl;dv hakkında ayrıntılı bir rapor yayımladı: şirketin Firestore veritabanı kiracı izolasyonu olmadan bırakılmıştı ve açık altı aydan uzun süre kapatılmadı.

Neyin açıkta olduğu

tl;dv, Google Meet, Zoom ve Teams görüşmelerine bir bot gönderiyor, görüşmeleri kaydediyor, deşifre ve yapay zekâ özetleri üretiyor. Kayıt sonrasında kullanıcıya bir JWT veriliyor; bu jeton gw.tldv.io/v1/users/firebase/token adresinde bir Firebase jetonuyla değiştiriliyor ve lmi-store projesindeki Firestore veritabanına erişim sağlıyor.

Araştırmacıya göre meetings koleksiyonunda kiracı izolasyonu yoktu; yani kimliği doğrulanmış herhangi bir kullanıcı platformdaki tüm hesapların toplantı kayıtlarını okuyabiliyordu. Her kayıt, düzenleyicinin e-posta adresini, konferans kimliğini — katılınabilir bir Google Meet veya Teams odasını — kayıt durumunu ve zaman damgalarını açığa çıkarıyordu. recording durumundaki toplantıların kimlikleri canlı görüşmelere işaret ediyordu; her an bu tür yaklaşık 1.000 toplantı bulunuyordu.

Araştırmacı açığı pratikte de doğruladığını söylüyor: 157'den fazla katılımcının olduğu Malezya Eğitim Bakanlığı'na ait canlı bir Google Meet görüşmesine ve ABD'deki bir üniversitenin öğrencilerinin yer aldığı bir görüşmeye katıldı.

Ölçek

Açık koleksiyonda 35.003 e-posta alan adından 84.312 benzersiz kullanıcıya ait 181.874 toplantı kaydı vardı. Bunlar arasında 23 ülkeden hükümet toplantıları (Brezilya, Ukrayna, Filipinler, Meksika, Malezya ve İsrail dahil), Berkeley ve Tokyo Üniversitesi'nden üniversite toplantıları, HubSpot, Confluent ve Mitsui-Soko gibi şirketlerin kurumsal kayıtları yer alıyordu.

En yoğun ay Temmuz 2025'ti — 43.209 toplantı; en yoğun zaman dilimi ise UTC 14.00'te çarşamba günüydü (7.804 toplantı). Araştırmacı ayrıca 27.334 toplantı kimliğini kontrol etti ve 1.000'den fazlasının herkese açık olduğunu buldu; bu kayıtlarda 228 alan adından 715 davetli e-postası görünüyordu.

Bildirim süreci

Araştırmacı açığı 28 Ocak 2026'da bildirdi: önce LinkedIn üzerinden şirket yetkilisine, ardından CTO'ya e-posta ile. Şubat ve mart aylarında birkaç kez yinelediğini, yanıt alamadığını ve temmuz sonunda veritabanının hâlâ açık olduğunu söylüyor. tl;dv'nin güvenlik sayfası SOC 2, GDPR ve EU AI Act uyumluluğunu duyuruyor ve güvenlik bildirimlerine 24 saat içinde yanıt sözü veriyor.

Rapora göre users, chats, transcripts ve recordings gibi diğer koleksiyonlar doğru şekilde 403 döndürüyor. Araştırmacı tl;dv'yi aynı kuralları meetings koleksiyonuna uygulamaya, şirket içi Dünya Kupası tahmin uygulamasını korumaya ya da kaldırmaya ve güvenlik araştırmacılarına yanıt vermeye çağırıyor.