Решил глянуть как там да чем хешируется...
Сам пароль в БД хранится как md5...а в куках уже md5(md5($pass))...то есть "поимев" куки, можно узнать и пароль админа, хотя зачем, если подменой куков ты и так сможешь зайти по словам k1b0rg'a...

Пример...
wordpresspass_a099c39a2f1348d46f7d76beb30b214b: 63ee451939ed580ef3c4b6f0109d1fd0
wordpressuser_a099c39a2f1348d46f7d76beb30b214b: admin
wrfcookies: 123123%7C123%7C1173652606%7C1173652344

В бд хешированный пароль выглядит так - 4297f44b13955235245b2497399d7a93
63ee451939ed580ef3c4b6f0109d1fd0 = 123123 md5(md5($pass))
4297f44b13955235245b2497399d7a93 = 123123 md5 простой...