Die Schwachstelle beruht auf einer unzureichenden Prüfung von Eingabedaten in den Windows-Varianten des Zoom Desktop Client, des Zoom VDI Client sowie des Zoom Meeting SDK. Weil übergebene Daten nicht ausreichend validiert werden, kann ein Angreifer über einen Netzwerkzugriff manipulierte Eingaben an die Software übermitteln. Dafür sind keine gültigen Zugangsdaten und keine vorherige Anmeldung nötig. Gelingt der Angriff, kann der Angreifer das Benutzerkonto übernehmen und damit unter der Identität des betroffenen Nutzers agieren – etwa auf dessen Meetings, Kommunikationsdaten und Kontoeinstellungen zugreifen. Betroffen sind sowohl der normale Desktop-Client als auch die für virtuelle Desktop-Umgebungen gedachte VDI-Variante und das Entwicklungspaket, mit dem Zoom-Funktionen in eigene Windows-Anwendungen eingebettet werden. Damit reicht die Angriffsfläche von Einzelarbeitsplätzen über zentral bereitgestellte Desktop-Infrastrukturen bis zu Drittanwendungen, die auf dem SDK aufsetzen.