AI 会议平台 tl;dv 数据库持续开放，超 18 万条会议记录可被任意用户访问

AI 会议录制与摘要平台 tl;dv（Too Long; Didn't View）正面临一起持续半年的重大数据安全问题。安全研究人员于 2026 年 1 月 28 日首次向该公司披露其 Firestore 数据库未做任何租户隔离、任意已认证用户可越权访问全部会议元数据的漏洞，但截至 2026 年 7 月，问题仍未修复，期间 CTO 也未作出任何回应。tl;dv 拥有超过 200 万用户，业务覆盖 Google Meet、Zoom 与 Microsoft Teams 三大会议平台，由投资人背书并长期活跃于 LinkedIn 销售社群。

漏洞机理：JWT 换 Firebase Token 后可直接遍历全平台

tl;dv 的登录流程是先用 JWT 完成用户认证，再通过 gw.tldv.io/v1/users/firebase/token 换取 Firebase Token，进而访问项目 lmi-store 下的 Firestore 数据库。其中 meetings 集合完全缺失租户隔离，意味着任何一个已登录用户都可以查询全平台所有账户的会议记录。每条会议记录都直接返回创建者邮箱、会议 ID（即可直接加入的 Google Meet 或 Teams 房间链接）、所属平台、录制状态与时间戳。对于状态为「recording」的会议，该会议 ID 对应的就是一场正在进行的直播通话。

规模：18.1 万条记录、8.4 万用户、3.5 万个邮箱域名

研究人员对该集合进行了完整枚举，结果显示：

• 会议记录总数：181,874 条
• 独立用户数：84,312 个
• 涉及邮箱域名：35,003 个
• 政府机构：来自 23 个国家的 .gov 域名，包括巴西、哥伦比亚、秘鲁、乌克兰、萨尔瓦多、菲律宾、智利、印尼、墨西哥、美国、卡塔尔、马来西亚、乌兹别克斯坦、斯里兰卡、海地、南非、牙买加、洪都拉斯、阿根廷、泰国、日本、以色列与伯利兹
• 高校：包括加州大学伯克利分校、东京大学、De La Salle、哥伦比亚国立大学等数十个 .edu 与 .ac 域名
• 企业：三井仓库（Mitsui-Soko，四个区域办公室共 484 场）、三井不动产、HubSpot、Confluent、Mekari、AnyMind 等

单月峰值出现在 2025 年 7 月，当月新增 43,209 场会议；最热时段为 UTC 时间周三下午 2 点，共 7,804 场。任一时刻集合内约有 1,000 场状态为「recording」的直播会议，其会议 ID 可被任何人抓取后直接加入。

实际验证：加入马来西亚教育部与美国高校直播

研究人员以概念验证（PoC）为目的，未做更多侵入，分别加入了两场正在进行的会议：一场为马来西亚教育部面向 157 名参会者的公开培训，tl;dv 的录制机器人已在参会列表中；另一场为美国某重点高校 21 名学生围绕创业项目的讨论，参会者正在屏幕共享原型、讨论客户端校验逻辑并现场配置 Supabase 后端。

公开内容与次生泄露

虽然默认情况下会议视频与转写文本为私有，但通过对 27,334 个会议 ID 的二次扫描，仍有超过 1,000 个会议对外公开，并泄露了 715 位被邀请者的邮箱，涉及 228 个域名。其中包括由 WWF、TNC、保护国际、WRI 与圣保罗州政府共同参与的巴西大西洋森林保护会议（PACTO Mata Atlântica）、乌克兰数字化转型部相关会议、HubSpot 的销售通话等。

内部工具同样未设防

在子域名枚举过程中，研究人员还发现：

• 多个以意大利面命名的微服务子域名：cappellini、carbonara、fusilli、pasta、penne、puttanesca-v0、ravioli，均为 Express 服务
• 一个面向 tl;dv 员工的 FIFA 2026 世界杯预测小游戏 worldcup.tldv.io，由 Base44 生成，其 Player 实体接口完全无鉴权：GET /api/entities/Player 直接返回 43 条玩家记录，其中 19 人为 @tldv.io 企业邮箱及其全名
• Prediction 与 Fixture 实体同样无鉴权，等同于把员工目录公开暴露

披露时间线

2026 年 1 月 28 日，研究人员通过 LinkedIn 联系负责对外沟通的 Raphael Allstadt，对方数分钟内回复并请其向 CTO 发送邮件。邮件发出后，再未收到任何实质性回应。半年后漏洞仍在，公司也未发布安全公告或致歉声明。