Não se esqueça de validar no back-end (especialmente se estiver trabalhando em ambas as camadas). Caso contrário, um proxy pode ser usado para alterar o tipo do arquivo, permitindo o envio de um arquivo que não seja PDF.

Nunca confie apenas no front-end; ele é apenas um facilitador.