Это не корректно код прописан, в результате чего приводит к раскрытию путей, отсутствует проверка наличия HTTP_REFERER