1. Пароли в чистом виде: Инфо о юзерах хранится в users.dat в совершенно открытом виде. И если же анонимный аккаунт включен (кстати по дефолту), то весь FTP сервак ставится под угрозу:

ftp://somewhere/program files/pablo's ftp service/users.dat


2. Дефолтовый Анонимный Аккаунт: Аномный аккаунт, стоящий по дефолту, имеет доступ к любой папке и файлу на диске C:.