Имеется такой код:



Получается, проверяется только тип, передаваемый браузером. Т.е. можно сформировать фейковый пакет с типом image/gif, а заливать любой файл, так?