Тут дилемка есть.
В опчем, для пассворд ресета надо указывать эзверьнейм и пассворд.
Ну это чтобы от горячих братских чувств братья друг другу насильно пассворды не поменяли.
Гуд.
Онако, юзверь может попытатся угадать имейл юзверя, если предполагает какой.
Бед.
Так как при совпадении юзверя с имейлом и отправке нового пассворда выводится конфирмейшн.
Я думаю это не критично.

Ы?