Problema De Seguridad

[Jose789]

Tengo esto creado para que los usuarios puedan cambiar su clave en cualquier momento, hasta el día de ayer, me cambiaron la contraseña tanto ami como a otros usuarios y entraron a la cuenta... Si alguien me puede ayudar.

Código PHP:

if(isset($_POST['save3'])) {
        $username = $_SESSION['usuario'];
        $password = FilterText(md5($_POST['password'], $username));
        $password2 = FilterText(md5($_POST['password'], $username));
        
        if(empty($password))
        {
            $result = "No puedes dejar el campo de la contraseña vacio.";
        }
        else 
        {
        $sql = mysql_query("SELECT id FROM users WHERE username = '".$username."' AND password = '".$password."' OR username = '".$username."' AND password = '".$password2."' LIMIT 1") or die(mysql_error());
            if(mysql_num_rows($sql) < 1)
            {
                $result = "Tu contrase&ntilde;a actual no coincide.";
            } else {
             if($_POST['new_password'] != $_POST['rep_new_password']) {
             $result = "No coinciden las nuevas contrase&ntilde;as.";
             }
             else if(empty($_POST['new_password']))
            {
            $result = "No puedes dejar el campo nueva password vacio.";
            }
             else 
             {
            $new_password = FilterText($_POST["rep_new_password"]);
            $new_password = md5($new_password);
             $sql = mysql_query("UPDATE users SET password='".$new_password."' WHERE username='".$_SESSION['usuario']."'");
             if($sql) {
             $result = "Cambios guardados correctamente.";
             } else { 
             $result = "Error: No se pudieron guardar los cambios.";
             }
            
             }
            }
        
        }
    
    }