Il fatto che la directory abbia permessi di scrittura non significa che sia accessibile dall'esterno. Evidentemente la roba l'hanno inserita tramite il tuo form di inserimento (o qualche altro buco di sicurezza), quindi cambiare i permessi non risolverebbe la cosa. Devi effettuare dei controlli su cosa viene uploadato, e magari anche su CHI fa l'upload.