Я думаю, что письмо, со ссылкой, позволяющей подтвердить смену email для аккаунта в багзиле не должно слаться на НОВЫЙ адрес, а только на старый (сейчас шлется на оба).
Это будет дыра для подписывания любого email.