При upload особено, ако е в папка, която е достъпна през web root-a трябва да се проверява и file extensiona, а не само mime type. Кофтито е, че не можеш да разчиташ напълно, че ще имаш дефиниран magic файл, от който да ти чете mime type-вете FileInfo. Та за това за да се презастраховаш правиш...