насколько позволяет моя квалификация... в этом коде возможна php-inj
защиты тут в общем-то никакой нет.

расширение отбрасывайте с помощью null-byte либо с помощью усечения...