При запросе утерянного пароля на e-mail приходит пароль который был указан при регистрации. Т.е. пароли на сервере хранятся в открытом виде и если вдруг найдут уязвимость то смогут увести ~100% аккаунтов.
