MD5 и SHA-1 уже давно не для серьёзных вещей — коллизии делают их ненадёжными, особенно для паролей. Штука в том, что просто более длинный хеш вроде SHA-256 проблему не решит, потому что скорость вычислений слишком высокая. Лучше брать что-то типа bcrypt или Argon2, они специально сделаны, чтобы тормозить перебор. Если проект не критичный — можно пока оставить, но в долгосрочной перспективе лучше переписать.