我在 2026 年 1 月 28 日报告了这个问题。目前是 2026 年 7 月。六个月过去了。Firestore 数据库仍然完全开放。首席技术官从未回复。我猜我的电子邮件太长，他们没看。什么是 tl;dv？tl;dv（太长；未查看）是一个 AI 会议录音平台。它在你的 Google Meet、Zoom 或 Teams 通话中放置一个机器人，记录一切，转录，并用 AI 生成摘要。超过 200 万用户。得到了投资者的支持。得到了 LinkedIn 销售影响者社区一半的认可。他们存储你的销售通话、面试、绩效评估、内部战略会议。这类内容中，有人说“本通话正在录音”，大家紧张地笑了，然后分享交易秘密，持续 45 分钟。漏洞 当你注册 tl;dv 时，该平台通过 JWT 验证你，并通过 gw.tldv.io/v1/users/firebase/token 将其交换为 Firebase 令牌。该令牌让你查询他们的 Firestore 数据库，路径为 projects/lmi-store/databases/(default)。会议集合没有租户隔离。任何经过身份验证的 tl;dv 用户都可以查询平台上所有账户的每个会议。每个会议记录提供创作者的电子邮件地址、会议 ID（这是一个可加入的 Google Meet 或 Teams 房间）、提供者、录音状态和时间戳。对于处于录音状态的会议，该会议 ID 是一个实时、活跃的通话。你可以实时观看集合，看到会议开始录音，获取 ID，未经邀请闯入某人的通话。在任何给定时间，大约有 1,000 个会议状态为：正在录音，停留在集合中。大约 1,000 个直播通话暴露了会议 ID。拥有机器人的攻击者可以同时加入所有这些通话。我加入了 2 个会议 我做到了。从 Firestore 获取一个会议 ID，并加入了属于马来西亚教育部的实时 Google Meet 会议。一个女士正在向超过 157 名参与者进行演示。tl;dv 机器人已经在参与者列表中。我和他们在同一个通话中。没有人邀请我。Firestore 数据库邀请了我。我还加入了一个来自美国一所主要大学的学生正在构建创业应用的通话。共有 21 人在通话中。他们全屏共享他们的整个项目，讨论原型，真的是，我开玩笑的，他们在谈论如何需要为 .edu 电子邮件地址添加客户端验证。他们还在现场设置 Supabase，我唯一想到的是“请设置 RLS 策略”，因为大多数人不这样做，然后你最终也像 tl;dv 一样。我非常想说些什么。“嘿，你可能也需要服务器端验证。”但这只是一个概念验证，不是咨询。规模 我查询了 Firestore 会议集合，看到有 181,874 条会议记录，属于 84,312 个独特用户，涵盖 35,003 个电子邮件域。来自 23 个国家的政府会议：巴西、哥伦比亚、秘鲁、乌克兰、萨尔瓦多、菲律宾、智利、印度尼西亚、墨西哥、美国、卡塔尔、马来西亚、乌兹别克斯坦、斯里兰卡、海地、南非、牙买加、洪都拉斯、阿根廷、泰国、日本、以色列和伯利兹。所有 .gov 域名。政府员工在一个允许任何免费用户列举全部内容的平台上录制通话。来自伯克利、东京大学、德拉萨尔大学、哥伦比亚国立大学的大学会议。数十个 .edu 和 .ac 域名。来自所有剩余 35,000 个域名的企业会议。三井仓库（在四个区域办事处进行 484 次会议）、三井不动产、HubSpot、Confluent、Mekari、AnyMind Group。每一个使用过 tl;dv 的公司都将其会议元数据存储在同一未保护的集合中。 2025 年 7 月是高峰月份，会议数量达到 43,209 次。最繁忙的时间段是星期三的 UTC 下午 2 点，有 7,804 次会议。周三的站立会议时间。但等等，还有更多 我还想知道有多少实际内容是可以访问的，默认情况下会议是私密的（这意味着你无法观看视频或看到转录），所以我抓取了 27,334 个会议 ID，并检查了哪些是公开的。超过 1,000 个是公开的。715 个邀请者电子邮件暴露在 228 个域中。亮点：来自巴西的政府保护会议（PACTO Mata Atlântica），参与者包括 WWF、自然保护协会、保护国际、WRI 和圣保罗州政府。来自乌克兰数字转型部的会议。一场 HubSpot 销售电话。涉及哥伦比亚国立大学和智利绿色委员会的会议。意大利面基础设施 tl;dv 的微服务以意大利面命名。子域扫描显示 cappellini、carbonara、fusilli、pasta、penne、puttanesca-v0 和 ravioli，全部在 tldv.io 下。整个意大利餐厅数量的 Express 服务器。太长；没有得分 在探索他们的子域时，我发现了 https://worldcup.tldv.io。这是一个为 tl;dv 员工构建的 FIFA 世界杯 2026 主题的预测游戏。它名为“世界杯 Pick'em”，他们的内部团队叫做“太长；没得分。”可爱。玩家实体 API 没有任何身份验证信息。