Да там есть проверка, по кукисам и еще в одно из скрытых полей записывается некий хеш (ID пассворда или че-то, сырцев нет, так что четко сказать нельзя).

Я думал подкинуть страницу с ифреймом админу и тот перейдет, а оно сразу отправит запрос и назначит другого пользователя админом, но, походу, без XSS на сайте так нельзя, а то каждый дурак бы так мог.