Тогда разработчик молодец и всё надёжно. Ответ — никак. Приглашайте юзеров ресетить пароль через почту со специальной ссылкой, как это сделано в advanced project template: https://github.com/yiisoft/yii2-app-advanced
Ну, я тоже не могу потому как третий аргумент можно не указывать. У вас в CategoryController или его предках не перекрыт случаем createUrl? Ошибку лучше всего читать полную с файлом, строкой и трейсом + файл желательно показать.
Если у вас этих моделей ещё нет, то да, создать новую директорию, создать там модели и использовать. Всё сильно зависит от того, где вы пытаетесь использовать Yii. Что это за система, на чём она написана? Что за «оригинальная» папка?