Gli utenti possono accedere con la stessa password quando viene richiesta una modifica della password ma non viene modificata?

Sì, è necessario consentire agli utenti di accedere utilizzando la vecchia password finché non hanno cambiato la password. Altrimenti sarebbe possibile bloccare gli utenti dal proprio account richiedendo una reimpostazione della password per loro.

Il comportamento che stai descrivendo ha un senso in qualche modo, la tua password è stata probabilmente cancellata quando hai aperto la nuova pagina di password come hai già dimostrato di essere l'autore della modifica o in realtà hai desiderato di ottenere una nuova password.

Secondo me non aggiunge o rimuove la sicurezza, è più un dettaglio di implementazione guidato da:

• il modo in cui funziona il framework (ripulire la voce del database prima di salvare quella nuova).
• il team di sviluppo non pensava che qualcuno avrebbe annullato la nuova password e sebbene fosse meglio ripulirlo al caricamento della pagina.

Sono favorevole alla gestione del caso "cancel", la password dovrebbe essere cancellata / sovrascritta solo quando l'utente ha convalidato il modulo, per gli stessi motivi che ha dato @Sjoerd: per evitare di bloccare gli utenti.

Il client può reimpostare la sua password perché potrebbe sospettare che il potenziale attaccante lo abbia. Sarebbe una pessima idea mandargli una email che indichi che la sua password verrà pulita (o spostata nel campo "old_password_hash") anche se l'hacker può ancora usarla dopo che il client ha fatto clic sul link.

Puoi impostare criteri diversi per utenti diversi:  L'utente normale può ancora accedere con la stessa password fino a quando non cambia la sua password  utente con privilegi elevati in bianco, devi applicare la modifica della password in base al criterio di organizzazione