modxmailerのクラスインスタンスを作ってる箇所で、site_urlを埋め込んでるところはすべてでしょうね。
(X)HTMLコード上では実体参照は必須だと思いますが、modxmailerでphpmailerをプレーンテキストで送出するようオーバーロードしてますから、グローバル設定に関わらずデコード（"&"のみに）するのが正解のよ～な気がします（ちょっと自信ないです :oops: ）。
メールをHTML形式で送れば問題ないのでしょうけど。。。

weblogin.common.inc.phpの62行目をご指示いただいた通りに修正したらうまくいきました

でも、weblogin ...

IE6～8、Firefox、Safari、Opera、Chrome（IE以外は最新版）で試してみました
実体参照のURL（amp;の方）だとダメ、実体参照じゃないURLだとOKでした

yamaさんの対応方法でもいけることは確認しましたが、ちょっと影響が心配になりました。
局所的に対応するのであれば下でしょうか。（他にも数箇所ありそうですが。。。）
ソース ： assets/snippets/weblogin/weblogin.common.inc.php (L62)
// $message = str_replace("[+surl+]",$site_url,$message ...

WebLoginのパスワードの再発行についてです

modxをインストール後のサンプルサイトです
サンプルサイトには何も手を加えていません
（ウェブユーザーは作成しました）

作成したウェブユーザーでログイン
→OK

パスワードを忘れた場合の再発行の手続きをします
「パスワードをお忘れですか？」
→メールアドレス入れて再発行
→メールが来る

メーラーはThunderbirdを使っています
届いたメールに書かれている、再発行したパスワードを有効にするためのURLが
http://hoge.com/index?webloginmode=actp&wli=2&wlk=hogehoge ...