Объяснение
Static — ресурсы приложения, media — пользовательские загрузки. Загруженный файл нельзя считать безопасным по расширению. Тесты должны проверять анонимного пользователя, владельца и пользователя без права.
Задача для самостоятельного решения
Можно ли исполнять загруженные файлы как серверный код?
Показать разбор ответа
Нет. Храните uploads отдельно, ограничивайте размер и типы, выдавайте с безопасными заголовками. Пользовательский файл не должен попадать в каталог исполняемых шаблонов.