Por que .woff2 aparece com dois MIME types diferentes?
Porque fontes web foram registradas originalmente sob o tipo de nível superior application/, produzindo application/font-woff2, e só em 2017 RFC 8081 criou o tipo font/ dedicado, produzindo font/woff2. Servidores antigos ainda declaram a forma legada, então ambas continuam em uso e ambas são decodificadas pelos navegadores.
Posso confiar na extensão para saber o tipo real de um arquivo enviado por um usuário?
Não. A extensão é escolhida por quem salva o arquivo e pode ser trocada livremente sem alterar um único byte do conteúdo; um arquivo .jpg pode conter qualquer coisa. Servidores que aceitam upload deveriam inspecionar os primeiros bytes do arquivo (magic numbers) e nunca confiar só no nome para decidir como processá-lo.
.jpg e .jpeg têm algum MIME type diferente entre si?
Não, os dois (e a variante mais rara .jpe) resolvem para o mesmo tipo registrado, image/jpeg. A diferença de três contra quatro letras é só um resquício histórico do limite de três caracteres de extensão do FAT/DOS antigo, que nunca existiu na especificação do formato de imagem em si.