Бывают ли уязвимости при вводе данных пользователем для сайта без бд?
Если нет механизма отображающего эти "запросы" на страницах сайта или в админке какой, то в данном механизме нет проблемы. Есдинственное что - желательно поставить капчу какую нить или другимси механизмами ограничить количество отправляемых запросов с одного IP.
Если есть возможность прикреплять файлы к запросу, то нужно смотреть конкретно код функции, но в случае с прямой отправкой полученнных данных на E-mail, налажать сложно (список расширений только профильтровать - что-бы менеджеру не присылали вирусню).
Всё это относительно. Все хостинги (нормалные) делают ограничения по пользователю - т.е. права только в его (пользователя) папке. Т.е. дальше этой папке "хакер" ни куда не продвинется. Максимум могут залить какой нить вирус (или другое подобное ПО, которые насолит вам и/или вашим пользователям) и т.п.
Так что лучше делайте валидацию на работу с данными.