Скорее всего звёздочки и находятся. =)
Вы считаете что уважающие себя кодеры в текущей сессии будут передавать старый пароль в запросе ?
аля changepass.php?old=qwerty&new=superpass ??
По моему это как минимум глупо. Гораздо эффективнее назначить в поле некоторую последовательность (никак не зависящую от пароля, чисто рандом) и передавать её хэш сумму, в случае несовпадения осуществлять процедуру смены пароля, при корректно заполненном поле.
Или я чтото не так понимаю ?