fix(security): headingLevel prüfen, überschreibende Tools kennzeichnen, Meta-Tools auf lit/ beschränken

- Divi-Vollformat: headingLevel nur h1 bis h6 (ValueCleaner, StoredNodeGuard, ShortformWriter);
  sonst ließ sich für Konten ohne unfiltered_html ein Skript-Element erzeugen.
- content-update, divi-update und wp-settings-update sind destructive, damit MCP-Clients nachfragen.
- mcp-adapter/execute-ability und get-ability-info nehmen auf dem OAuth-Server nur lit/-Abilities an.
- release-publish.sh übergibt den Gitea-Token per Konfigurationsdatei statt als curl-Argument.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

src/Integrations/Divi/Compose/ShortformWriter.php

@@ -229,7 +229,7 @@ final class ShortformWriter
                 }
                 throw new InvalidArgumentException('true oder false erwartet');
             case 'level':
-                if (is_string($value) && preg_match('/^h[1-6]$/D', $value) === 1) {
+                if (is_string($value) && preg_match(ValueCleaner::HEADING_LEVEL, $value) === 1) {
                     return $value;
                 }
                 throw new InvalidArgumentException('h1 bis h6 erwartet');