частично? а в чем именно не прав.
для любой смены личной информации нужен пасс - из Xss его никак не узнать