Мне кажется, вы хотите, чтобы ваш клиент отправил электронное письмо, а это не так. Вместо этого клиент вводит адрес электронной почты, который отправляется на ваш сервер, который, в свою очередь, запускает скрипт, который a) проверит наличие действительного адреса электронной почты в вашей базе данных (b) сменит пароль на некоторый временный пароль) c] пароль электронной почты (этот временный) пароль на действующий адрес электронной почты
Как вы описываете, любой может ввести любой адрес электронной почты и получить пароль;)