>>294
そこはブラウザとMIMEtypeでどうにかできる
とりあえず、$set{'up_all'} = 1;にして
$set{'deny_ext'}にshだのcgi, phpだのといった危ないのを入れとけばいいんじゃね？