In dem Bespiel ist das kein Sicherheitsmangel, weil erstens keine Dateiname sondern nur Indizes übergeben werden und zweitens wird das ganze nochmal geprüft. Ergo können nur die Dateien die included (bzw. required) werden die auch im Array stehen.