fix: oprava kritických bezpečnostních chyb a bugů z code review

- SEC-1: nahrazen exec('fsutil') za PHP-native is_link()+realpath() v NasFileManager - eliminace command injection
- SEC-2: přidáno ověření aktuálního hesla při změně hesla (profile.php + DashProfile.jsx)
- BUG-1: attendance punch obalen do transakce s SELECT FOR UPDATE - prevence race condition při dvojkliku
- BUG-2: eliminován N+1 SQL dotaz pro VAT v invoice listu - výpočet přesunut do subquery
- BUG-5/6: delete a update attendance záznamů obaleny do transakcí - prevence nekonzistentního stavu
- BUG-7: opravena duplikace nabídky - přidáno chybějící pole unit v offer items

ESLint: 0 errors | PHPCS: 0 errors | Build: OK

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

api/admin/handlers/offers-handlers.php

@@ -428,6 +428,7 @@ function handleDuplicate(PDO $pdo, int $sourceId): void
                 'description' => $item['description'],
                 'item_description' => $item['item_description'],
                 'quantity' => $item['quantity'],
+                'unit' => $item['unit'] ?? '',
                 'unit_price' => $item['unit_price'],
                 'is_included_in_total' => $item['is_included_in_total'],
                 'position' => $item['position'],