на счет кук протормозил =)
у меня мысли были в сторону открыть новое окно с запросом к mail.php =)
т.е. теоретическая возможность проспамить по друзьям не угоняя акк...

ну или changepassword.php =)