атака только если на сайте живой админ можно ему заслать код который пароль сменит или куки тебе отошлёт