A senha foi inserida no objeto da sessão e também recuperada dele em vários scripts. Estes scripts não usaram a senha, mas a ecoaram algumas vezes em uma URL para uma próxima ação (que não usou a senha também). Isto é um vazamento de segurança.
Uma grande modificação dos scripts neste commit remove o código para definir/recuperar a senha do objeto da sessão.
As pequenas modificações estão listadas nos comentários de modificação dos scripts.
Os scripts excluídos não foram usados.
https://github.com/ABCD-DEVCOM/ABCD2/commit/05d0e5ba5d23025318a6b55c3088f59e150275eb
