Имя и пароль пользователя проверяются отдельно, что дает возможность получения списка пользователей.
vulners.com/securityvulns/securityvulns:doc:780