Наверно вопрос тут не в Nginx, apache или в чём-то еще. А в том что у человека на бекенде не было проверки на расширение типа файлов, это и привело к тому что пользователь смог загрузить файл и выкачать все что давало ему (по правам доступа).
От этого защищаются как минимум проверкой расширений, а бонусом можно делать переименование файлов (что кстати тоже важно). Тогда в таком случае юзер сможет грузить только разрешенные форматы. Если нужно решение, то на гитхабе полно ссылок на такие библиотеки, где уже есть фильтрация расширений (если не хотите сами писать код)