Einen Pfad aus $_GET zu akzeptieren ist eine ganz böse Idee. Allerdings könnte da basename() auch ausreichen.

Wie gesagt, ich verwende relative Pfade unterhalb eines von mir definierten Ordners, den ich in der download.php definiere. Also nicht übergebe. Nach oben kann man nicht, da ich den Doppelpunkt durch den einfachen Punkt ersetze.

Cheers,
Baba