Però il bruteforce lo può fare se vuole.
Il bruteforce non mira a violare qualche debolezza. Mira a tentare tutte le combinazioni finchè non si trova quella giusta.
In questo senso è perfettamente possibile tentare un bruteforce con md5.
Basta originare la stringa casuale (o a dizionario) come si farebbe comunemente e poi ottenere il suo md5. Fatto questo si compara l'md5 da forzare con l'md5 ottenuto.
Se combaciano si ottiene una parola (potrebbe anche non essere LA parola, anche se è statisticamente difficile) che si cela dietro all'hash md5.
Se lo si fa per guadagnare l'accesso poi, poco importa che sia la stessa parola, basta che dia origine al medesimo hash.

Per quanto riguarda la domanda su mysql non riesco bene a comprenderla.