tl;dv、181,874件の会議記録を無料アカウントから半年間閲覧可能に放置

研究者のBobDaHackerは、tl;dvのFirestoreのmeetingsコレクションにテナント分離が設定されていないことを発見した。認証済みの無料アカウントであれば、84,312人のユーザーにまたがる181,874件の記録に加え、任意の時点で録音中の約1,000件の通話に参加可能な会議IDを読み取ることができた。同社の他のすべてのコレクションは403エラーを返すため、これはコレクション単位のルールの抜け穴であり、別のテナントとしてデータベースにクエリを実行した際にのみ表面化する類のものである。2026年1月28日にCTOに報告され、7月まで対応を求めたが、現在も未修正のままである。

出典： bobdahacker.com ↗