Existe um problema onde o manipulador de senha perdida legado `rc process lost password form()` consome o parâmetro POST `rc redirect` controlado pelo invasor em dois sumidouros não validados em legacy/includes/forms.php. Isso ocorre via `wp redirect()` e `add query arg()` dentro da função `rc send password reset email()`. Como o nonce necessário é transmitido pelo shortcode público `[login form]` para visitantes anônimos, invasores não autenticados podem disparar solicitações de redefinição de senha para qualquer conta, incluindo administradores. Ao envenenar o e-mail de redefinição para apontar para um host controlado pelo invasor, a chave de redefinição é vazada quando a vítima clica no link, permitindo que o invasor a utilize para assumir o controle da conta.