$result4 = mysqli_query($link,"UPDATE users SET password='$password' WHERE login='".$_SESSION['login']."'");
//обновляем пароль
if ($result4=='TRUE') {
//если верно, то обновляем его в сессии $_SESSION['password'] = $password;
}
}

<input type='password'/>
<button id='submit'>Сменить</button>

$.post(user.php?change,{data: $('input').val()},function(ajax){
console.log(ajax) //читаем как ругается сервер
})

print_r($_POST)
new PDO(.....)

 $sql = $this->dbh->prepare("UPDATE users set password = ':password'    where username = ':username'");
 $sql->execute(array(':password' => $password, ':username' => $username));

или используйте готовый mysql driver