1.
Имя загружаемого файла (и любые пользовательские текстовые данные) - проверять СТРОГО ТОЛЬКО ЧЕРЕЗ REGEX!
2. Проверять тело аватарки сразу после загрузки (пока файл во временной папке) на соответствие формату изображения. Например, запросив разрешение изображения или любое другое свойство, проверить заголовок.
3. Проверить валидность на минимальный и максимальный размер файла изображения.
4. И, заодно, бонусом, можно проверить тело файла на содержание любого из слов:
script,
document,
window,
onload,
onerror,
function,
body,
query,
select,
update,
insert.
БОНУС: сигнатуры 
