Ps no mucho se puede hacer, ya que hay van los datos de acceso mysql, y es el que te guia durante la instalacion te crea las tablas requeridas, y todo eso,  si lo instala y lo tienes ayi, lo unico que pueden hacer es resetear tu bd al reinstalarlo claro si tienen los datos de acceso mysql, que es muy dificir, tambien pueden usarlo para brutear el password y usuario mysql, pero es muy dificir porque despues de x cantidad de peticiones podes bloquear la ip que esta hasiendo todas las peticiones a la vez( Claro que debes configurarlo para que bloquee las peticiones en poco tiempo o solo agregar un captha) y como ya teneis instalado el wordpress puede ser que tenga ya un sistema de proteccion....

Saludos y sigue buscando y dudo que quieras encontrar una vulnerabilidad en install.php ya que si pensais usarlo para atakar otros blog, ellos no tendran el archivo install.php porque lo borran al instalarlo por lo que mejor deberias buscar otras vulnerabilidades que no esten en archivo de instalacion o archivos que seran borrados despues de la instalacion....