LimeSurvey fonctionne sur IIS, il y a des utilisateurs qui utilise IIS/msSQL . Par contre, comme tous serveur web, c'est sensible ces bètes là

. Pour les logs, y a t'il quelquechose dans les logs du serveur ? Si tu trouve quelquechoose, n'hésite pas à rapporter un bug.
Oui, pour le fichier config.php, je trouve aussi que c'est dommage, cependant il faudrait voir comment prendre en compte le fichier config.php.
L'idée que j'aurais:
1: config.php -> connexion à la BDD
2: BDD : prise des paramètres de la BDD
3: reprise de config.php pour forcer certains paramètres .
Le problème c'est que cela risque d'entrainer des défauts chez certains utilisateurs, qui ont une ville version de config.php, il faut réfléchir à la façon de les prendre en compte. Peut être un paramètre supplémentaire dans config.php de type:
$force_config = true/false.
N'hésite pas à remplir un rapport de bug
Concernant le mot de passe par défaut, c'est bien le mot de passe par défaut. Le mot de passe réel est dans la base de données, de plus il est crypté, donc ceci est beaucoup plus sécurisé que dans un fichier non crypté.