RewriteRule ^password/code/([0-9]+)$ /app/password.aspx?Security&Code=$1 [L,QSA]
([0-9]+) - только цифры
Так как передается сгенерированный хэш, то в нем содержаться и буквы.
Как в условие помимо цифр задать ещё и буквы?
Денис Павлик, ([A-z0-9]+) или (.*) - это допустит любые символы