Liebe Mitdenker,
liebe Wissende,
liebe Neugierige,

ja!

Einen Pfad aus $_GET zu akzeptieren ist eine ganz böse Idee. Allerdings könnte da basename() auch ausreichen.

Wie gesagt, ich verwende relative Pfade unterhalb eines von mir definierten Ordners, den ich in der download.php definiere. Also nicht übergebe. Nach oben kann man nicht, da ich den Doppelpunkt durch den einfachen Punkt ersetze.

Zeig bitte mal, wie Du das machst.

Spirituelle Grüße
Euer Robert