¿Se debe permitir a los usuarios iniciar sesión con la misma contraseña cuando se solicita un cambio de contraseña pero no se cambia?

Sí, debe permitir que los usuarios inicien sesión con la contraseña anterior hasta que hayan cambiado la contraseña. De lo contrario, sería posible bloquear a los usuarios de su cuenta solicitando un restablecimiento de contraseña para ellos.

El comportamiento que está describiendo tiene sentido de alguna manera, su contraseña probablemente fue eliminada cuando abrió la página de la nueva contraseña ya que demostró que era el autor del cambio o que realmente deseaba obtener una nueva contraseña.

En mi opinión, no agrega ni elimina la seguridad, es más un detalle de implementación impulsado por:

• la forma en que funciona el marco (limpiando la entrada de la base de datos antes de guardar la nueva).
• el equipo de desarrollo no pensó que alguien cancelaría la nueva contraseña y, aunque era mejor limpiarla en la carga de la página.

Estoy a favor de manejar el caso de "cancelación", la contraseña solo debe borrarse / sobrescribirse cuando el usuario haya validado el formulario, por las mismas razones que dio @Sjoerd: para evitar el bloqueo de usuarios.

El cliente puede restablecer su contraseña porque puede sospechar que un atacante potencial la tiene. Sería una terrible idea enviarle un correo electrónico que indique que su contraseña se limpiará (o se moverá al campo "old_password_hash") incluso si el atacante aún puede usarla después de que el cliente haya hecho clic en el enlace.

Puedes establecer diferentes políticas para diferentes usuarios:  El usuario normal todavía puede iniciar sesión con la misma contraseña hasta que cambien su contraseña  usuario alto con privilegios blancos, debe aplicar el cambio de contraseña de acuerdo con la política de su organización