Файл открывается по такой ссылке site.com/user/12345/avatar?123456, где просто выводится содержимое файла, без разницы на расширение, то есть мы получаем его контент, а не выполнение. Так как даже картинка, выводится текстом, отсюда обычная читалка. Получить полный путь до файлов заливаемых на сервер возможности нет (видно что об этом позаботились), что бы понять где и как они лежат и в какой расширение приходят на сервер, возможно оно и заливается в .php, но обратиться к файлу мы не можем, потому всякие догадки про права не верны!

З.Ы. Не стоит делать поспешных выводов не зная сути проблемы! Надеюсь я ясно объяснил и вопросы лишние отпадут.