можно скопировав куки получить сессию пользователя и зайдя под сессией сменить пароль