В квесте for only user у нас в разделе квесты он в сессии хранил только имя пользователя и его id, в куках только сессия и прочие таймауты, так что пароля не там не там не было. Зачем пароль вообще в сессии держать? Непонятно.

В подавляющем большинстве сломать можно что угодно