Вообще говоря, загрузка файлов должна быть проверена на стороне сервера, так как основные браузеры не полностью поддерживают атрибут accept. Пример ниже:
$accept = array('jpg','png','gif','bmp');
$extension = substr($_FILES['file']['name'],strrpos($_FILES['file']['name'],'.')+1);
if(!in_array($extension,$accept)){
// If the extension is not allowed show an error, else, the file type is valid
echo 'Not a valid file extension';
}