Ma non controlli che tipo di file ti stanno inviando? E se uno invia un file php e poi lo esegue sul tuo server?
E il nome, non lo controlli prima di inserirlo nel database? E se uno ti ci mette delle istruzioni sql?