Ciao hugheshi,

il controllo onsubmit lo devi mettere nel form e non nel campo... e fai attenzione al nome del campo file (è Allegato o campoFile?)
Poi se vogliamo fare i puntigliosi... un file che si chiama pippo.zip.exe viene accettato.
Io ti propongo una soluzione con le regular expression
codice:
<form onsubmit="return /\.zip$/i.test(this.NomeCampoFile.value)"