Так-же любопытен вектор загрузки файла на директорию выше (upload), по дефейсу с фотками жоры было понятно, что это возможно. А как технически реализуется, любопытно.

Отправлять POST запрос с пустой сессией - не катит. В саму сессию вставить что-либо левое типа двух точек тоже нельзя, если паттерн неправильный, сессия убивается.