นักวิจัยความปลอดภัยชื่อผู้ใช้ @s3c บน Medium รายงานถึงช่องโหว่ Zoom ที่มีช่องโหว่ในระบบยืนยันความเป็นเจ้าของอีเมล ทำให้แฮกเกอร์สามารถเข้าสวมรอยบัญชีผู้ใช้ใดๆ ก็ได้ในระบบ

ช่องโหว่นี้อยู่ในส่วนการล็อกอินด้วยเฟซบุ๊กที่บางกรณีผู้ใช้เฟซบุ๊กไม่มีอีเมล ทำให้ Zoom ขอให้ลงทะเบียนอีเมลเพิ่มเติม อย่างไรก็ดี URL บนหน้าส่งอีเมลนั้นมีอาร์กิวเมนต์ code ระบุอยู่ และ @s3c พบว่าอาร์กิวเมนต์นี้เป็นรหัสยืนยันสำหรับลิงก์ยืนยันความเป็นเจ้าของอีเมล

ผู้ใช้ทวิตเตอร์ @_g0dmode นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์รายงานถึงพฤติกรรมพิเศษของแอป Zoom บนวินโดวส์ที่จะแปลง UNC หรือ Universal Naming Convention ที่เป็นระบบอ้างอิงไฟล์แชร์ของวินโดวส์ ให้กลายเป็นลิงก์ที่คลิกได้ ทำให้หากผู้ใช้ได้รับลิงก์และเพียงแค่คลิกลิงก์นั้น วินโดวส์ก็จะพยายามเปิดไฟล์แชร์ตามโปรโตคอล SMB พร้อมกับพยายามล็อกอิน

แฮกเกอร์ที่เปิดเซิร์ฟเวอร์ SMB รอไว้จะได้รับข้อมูลชื่อล็อกอินและค่าแฮชของรหัสผ่าน ซึ่งหากรหัสผ่านผู้ใช้ไม่แข็งแกร่งพอก็อาจจะทำให้แฮกเกอร์สามารถหาค่ารหัสผ่านกลับมาได้