Уязвимость позволяла с помощью брутфорса подобрать код , отправляемый пользователю в процессе смены пароля. — SecurityLab.ru.