Solo con html non puoi farlo, prova ad usare questa funzione javascript...
<script type="text/javascript" language="javascript">
function file(){
nomeFile=document.allega.allegato.value;
if (nomeFile=="") return;
// isolo l'estensione
extFile=nomeFile.substr(nomeFile.lastIndexOf(".")+ 1);
// verifico che sia fra quelle permesse
permesse="#jpg#gif#bmp#doc#xls#ppt#";

if (permesse.indexOf("#"+extFile+"#")==-1)
{
alert(extFile + " non e' un file permesso")
allega.allegato.focus()
return false;
}
}
</script>