Não diretamente relacionado, mas motivado por Pwned Passwords Validator, já que temos analisado validação de senhas mais forte ultimamente.
O Discourse não parece bloquear uma senha como myusername123 ou 4myusername para o nome de usuário myusername.
Não encontrei nenhuma discussão anterior sobre esse tipo específico de senha fraca. Isso já foi considerado antes?