tl;dv AI 회의 녹음 181,874건, 인증 없이 전부 노출

Over 181,000 AI meeting recordings left wide open in note taking app

AI 회의 녹음 플랫폼 tl;dv에서 모든 사용자의 회의 메타데이터가 노출되는 심각한 취약점이 발견됐다. Firestore 데이터베이스의 meetings 컬렉션에 테넌트 격리가 적용되지 않아, 인증된 사용자라면 누구나 181,874건의 회의 기록을 조회할 수 있었다. 여기에는 정부 기관, 대학, 기업의 회의가 포함됐으며, 실시간 녹음 중인 회의의 컨퍼런스 ID를 얻어 무단으로 접속할 수도 있었다. 연구자는 말레이시아 교육부와 미국 대학생들의 회의에 무단 침입해 이를 입증했다. 또한 tl;dv의 내부 월드컵 예측 앱에서도 직원 19명의 개인정보가 노출됐다. 6개월간 신고했지만 CTO는 응답하지 않았다.