Является ли уязвимостью отсутствие подтверждения почты?
Все зависит от приложения и его кривости.

Уязвимости в неподтверждении почты нет. Ты верно подметил насчет спам-регистраций. Но это более менее решается капчей.

Видел много сервисов, которые сразу не просят подтвердить почту. Яркими примерами являются рег ру (регистратор доменов) и дудос гуард (защитник от ddos)
К уязвимостям это не имеет отношения.
Совсем другая тема)

Но, как уже верно подмечено, отсутствие подтверждения электронной почты может повлечь за собой множественные регистрации спам-аккаунтов.