Workflow: připnutí GitHub Actions na commit hash + aktualizace verzí

Reakce na CodeQL upozornění 'Unpinned tag for a non-immutable Action'.
Tag (v4/v2) může vlastník akce kdykoli přepsat na jiný commit; připnutí
na hash chrání release pipeline před podvržením závislosti.

Zároveň povýšeno na nejnovější verze: actions/checkout v6.0.3
a softprops/action-gh-release v3.0.0 (jen přechod na Node 24 runtime,
bez změn API; hashe ověřeny přes git ls-remote).

.github/workflows/release_plugin.yml

@@ -11,7 +11,7 @@ jobs:
     steps:
       # 1. Stáhne kód z repozitáře
       - name: Checkout code
-        uses: actions/checkout@v4
+        uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10 # v6.0.3
 
       # 2. Vytvoří ZIP (předpokládá, že kód je ve složce 'amcr_viewer')
       - name: Zip Plugin
@@ -22,7 +22,7 @@ jobs:
 
       # 3. Nahraje ZIP k Releasu
       - name: Upload Release Asset
-        uses: softprops/action-gh-release@v2
+        uses: softprops/action-gh-release@b4309332981a82ec1c5618f44dd2e27cc8bfbfda # v3.0.0
         if: startsWith(github.ref, 'refs/tags/')
         with:
           files: amcr_viewer.zip