Хакеру достаточно добавить к пути файла дополнительный слэш, чтобы обойти средства защиты. — SecurityLab.ru.