他の人はわかりませんが、自分は以下の様な感じで良さそうです。
目次が消えた書き込みでも書きましたが、


dllink.inc.php の46行目に次のような判別を挿入。

if (!preg_match('/\.(pdf|jpg|png|gif|doc|docx|xls|xlxs|zip)$/i',$filename)) {
return $qm->replace('plg_dlbutton.err_bad_filetype', '');
}



dlexec.phpの70行目に以下の様な判別を挿入

if (!preg_match('/\.(pdf|jpg|png|gif|doc|docx|xls|xlxs|zip)$/i',$filename)) {
header('HTTP/1.1 404 Not Found');
error_msg('Error : bad file type1');
exit;
}
if (preg_match('/^\//',$filename)) {
header('HTTP/1.1 404 Not Found');
error_msg('Error : bad file type2');
exit;
}
if (preg_match('/\.\./',$filename)) {
header('HTTP/1.1 404 Not Found');
error_msg('Error : bad file type3');
exit;
}

Windowsだとパスの指定がちょっと違うかな。