Das ist kein Leck, sondern willentliche Veröffentlichung

Warum? 

Weil es überhaupt keinen Grund für eine API gibt, die auf eine ID
(URL-Parameter) hin ein Passwort heraus rückt. Eine solche Funktion
entsteht nicht als ungewollter Nebeneffekt einer Programmierung.
Jemand muss beschlossen haben, dass das gehen soll, und es bewußt
programmiert haben.

Ein korrektes Design ist sogar so beschaffen, dass eine solche
API-Funktion gar nicht realisierbar ist. Geben darf es lediglich: 

void SetPassword(account, oldpw, newpw)
{
}

und 

bool CheckLogin(account, password)
{
}