Lieber Rouven,
Dann überlege dir mal, was ein oder mehrere ../ im "Bildnamen" bewirken könnten.
... es sei denn es gäbe eine Möglichkeit in den String so etwas wie einen Dateinamens-Trennzeichen einzuschmuggeln, so dass man plötzlich zwei Dateien anspricht...
http://bla.de/blubb/show.php?bild=../../../mein_boeses_script.php&pseudo=1234
Jetzt klar?
Liebe Grüße aus Ellwangen,
Felix Riesterer.