Добавлю для справки, что именно настройка сайта hide_email_address_taken, когда она включена (и, как отмечал @moin, эта настройка включена по умолчанию), требует, чтобы форма «Забыли пароль?» принимала только полный адрес электронной почты. Возможность ввести в это поле имя пользователя существует только при отключенной настройке.
Мне трудно представить, как ввод имени пользователя может раскрыть существование «занятого» адреса электронной почты, поскольку мы не отображаем никакую часть этого адреса на веб-странице (или где-либо, что я видел в консоли) после отправки формы с именем пользователя.