Una vez mil gracias por tu valiosa ayuda. Es cierto que JS no es lo más seguro para validar... solo deshabilitandolo con alguna herramienta del navegador cualquier cosa puede pasar sin necesidad de hackear el código.
También tienes razón en cuanto es siempre mejor validar del lado del servidor y con el mayor número de niveles.
Gracias por el vínculo, de hecho es el que uso para imprimir los archivos que se van a subir. Y es precisamente a ese código la variación que he intentado aplicar para que se quede en blanco y alerte en caso de tener una extensión no válida.
En cualquier caso, después del submit tengo un filtro en PHP que guarda solamente las extensiones aceptadas, el tema de JS me hubiese venido muy bien de cara a usuarios que no son muy expertos y no suelen leer las instrucciones de los formularios.
Gracias de nuevo por tu valiosa aportación.