Durch den Scriptautor. Und wen stört das?
Also ist für dich die Gefahr, dass jemand über eine Sicherheitslücke schadcode einspielt und dann $_FILES manipuliert nicht vorhanden bzw. für dich nicht relevant?
In dem Fall frag ich mich, was deine ganzen Aussagen sollen, wenn dich solch gravierende Sicherheitslücken nicht interessieren.
Mal ganz ehrlich, ich lese die Diskussion mit aber es gibt keinen einzigen Ansatz von dir um das angebliche Problem zu lösen aber du verteufelst grundsätzlich alles andere. Und ein "alles ist schlecht, wie man es lösen kann, sag ich aber nicht" ist keine Diskussionsgrundlage.