Server menyimpan berkas langsung ke direktori public/uploads/ dengan mempertahankan nama dan ekstensi asli. Coba buat file sederhana berekstensi .html berisi tag <script>alert('Hacked')</script> atau file SVG dengan payload XSS dan unggah ke formulir di atas.