Nu, of het gevaarlijk is, met die exe ...
Terwijl de upload bezig is, gebeurt de upload op een temporary plaats. Voor zover ik weet, is het niet mogelijk die file zomaar aan te spreken als gebruiker. Je kan daar niet zomaar aan, met een url.
Files uploaden moet je zien als een POST, de file-contents worden meegestuurd.
Als je de extensie oid wilt testen moet je dat op de client doen met (zoals gezegd HTML5/JS).
Als de file wordt geupload, komt deze in een tijdelijke map te staan, die van buitenaf (als het goed is) niet bereikbaar is. Dan kan deze ook niet uitgevoerd worden. Op het moment dat de upload voltooid is, kun je controles op de server uitvoeren. Als alle controles succesvol zijn, kunt je het bestand naar de gewenste map verplaatsen, of verwijderen in geval van een fout.