Und sauber und sicher programmiert ist das Skript nicht.
Mir gruselt bei dem Gedanken, wenn ein Upload eine Datei in /tmp oder sonstwo erzeugt, die auf von World-les-schreib-ausführbar ist.
Und Dateilocking findet auch nicht statt, Dateien werden nicht mit systemcalls geöffnet.
Na, da freut sich die race condition.