попробуй добавить %00 - если сработает наш нулевой байт, то расширение пропадет). а так возможна пхп-инъекция)