fix(ci): устранить падения release-PR — esbuild advisory и рассинхрон версии README

[konard]

Контекст

Release-PR #596 (chore(main): release 0.8.42) падает на двух проверках, но его head-ветка release-please--branches--main--components--teleton находится в xlabtg/teleton-agent и перезаписывается ботом release-please, поэтому ручные коммиты в неё нестабильны. Корневая правка должна быть в main — после мержа release-please перегенерирует release-PR уже с исправлениями.

Что падает

1. Security audit — новая high-advisory GHSA-gv7w-rqvm-qjhr (esbuild, исправлено в 0.28.1). Уязвимый esbuild тянется транзитивно через vite, vitest, tsup, tsx (только dev). На main сейчас esbuild@0.27.2, то есть npm run audit:ci падает и на самом main (последний зелёный прогон был до публикации advisory).
2. CI / Test → src/docs/__tests__/readme.test.ts: тест требует Current fork version: \${pkg.version}`, но release-please поднимает только package.json`, а README остаётся на прошлой версии. Из-за этого проверка ломается на каждом release-PR.

Исправления

• fix(security): добавлен override "esbuild": ">=0.28.1" (как и остальные security-override в репозитории). npm ls esbuild подтверждает dedupe до 0.28.1 по всем путям.
• build(release-please): добавлен extra-files: ["README.md"] в release-please-config.json и аннотация <!-- x-release-please-version --> к строке версии в README. Теперь release-please обновляет «Current fork version» вместе с package.json, и readme.test.ts перестаёт ломаться на каждом релизе.

Проверка локально

• ✅ npm run audit:ci — Passed npm security audit (high: 0; было 7 high)
• ✅ npx vitest run src/docs/__tests__/readme.test.ts — 3 passed
• ✅ Проверил release-please GenericUpdater: аннотированная строка README корректно поднимается до следующей версии
• ✅ JSON-файлы валидны

Закрывает корневую причину падений CI в #596.