L'abuso del reset della password è la manipolazione di un processo di recupero dell'account per prendere il controllo di un account utente. Invece di forzare direttamente la password, un attaccante prende di mira il flusso di reset: il link e-mail, il codice SMS, le domande di sicurezza, la convalida del token o un bug dell'applicazione che gli consente di attivare o alterare la richiesta di reset.
Questo è importante perché il reset della password è spesso la via più semplice per aggirare un'autenticazione robusta. Se la logica di recupero è debole, un attaccante può ottenere l'accesso a pannelli di amministrazione, account e-mail o servizi cloud senza conoscere mai la password originale. Nelle applicazioni web e nei plugin di WordPress, le vulnerabilità nella gestione del reset possono sfociare in un takeover completo dell'account, soprattutto quando l'azione di reset è esposta prima del login o si fida di input non verificati.
Le difese includono token di reset a breve durata, controlli rigorosi dell'identità, limitazione della frequenza, registri di audit e avvisi per cambi password o richieste di recupero inattesi.