und wie willst du sicherstellen, dass da nicht irgendeine .pl aufgerufen wird? da musst du doch erst noch rumprüfen und sicherstellen.
den ganzen mist spart man sich z.b. mit einer dispatchtabelle.
sich dynamisch modul- oder skriptnamen aus CGI übergeben zu lassen, ohne vorher auf eine whitelist zu prüfen, ist unsicher bzw. wenn man es absichern will, letztendlich viel zu umständlich.
bitte um erhellende aufklärung mittels eines stückchens code, der deine variante zeigt und sicher ist.