É um problema de segurança no sentido em que a maioria das pessoas está desatenta e nunca é demais chamar a atenção. É como os vírus, eliminava-se uma percentagem significativa dos problemas que acarretam se as pessoas fossem atentas.

Mas isso só é um problema de segurança para quem não está com atenção ao que está a fazer, o pessoal do wordpress até se deu ao trabalho de deixar no file do config um link para um gerador de frases complicadas

Acho que não faz sentido chamar-lhe bug quando está isto no código:

// Change SECRET_KEY to a unique phrase. You won’t have to remember it later,
// so make it long and complicated. You can visit https://www.grc.com/passwords.htm
// to get a phrase generated for you, or just make something up.

desculpa? e’ difi’cil e’ na~o encontrar melhor.