Так в том то и дело - получается, достаточно знать логин администратора, чтобы узнать пароль?
Конечно, если у вас включена отладка отправки почты, чего нельзя делать на production-сервере. Это настройка находится в разделе разработка - отладка, значит её включение дозволено только в целях разработки на локальных и тестовых системах. Здесь никакого бага - это стандартное поведение. Это то же самое, как поставить на сервере phpmyadmin и использовать root в mysql с пустым паролем (так будет, если использовать Openserver в production).
Сломалась почта на сервере - перевели его в режим техобслуживания, зашли администратором и отлаживайте отправку. Настроили отправку - отключаете отладку и только после этого выходите из режима технического обслуживания.
