> プログラム側のバグとも言えますが...。

そのとおりです。
内部から強い権限で直接いじってくる可能性を配慮できなかった上に、実ファイルへ
リダイレクト先をさらしてしまうことで、ディレクトリとファイルの存在を推測され
閲覧させるべきでない人にも閲覧されてしまっていました。

Webサーバからはパーサ経由でなければ手の届かないディレクトリ構造と、リクエス
ト時のアカウントチェック。多くを学べました。

MySQLから遠ざかりますのでこれにて。