Mi spiace dare torto a entrambi, ma il mime-type viene passato dal browser al server, ed è una stringa che volendo può essere modificata.
In effetti non c'è sicurezza nel tipo di file inserito nell'upload.

ciao