MCP server-filesystem 大小写变体路径绕过符号链接检查，允许在许可目录外创建文件

MCP server-filesystem 发布安全公告 GHSA-4gxg-m5jx-9j57：在大小写不敏感文件系统（macOS、Windows 默认）上，用不同大小写拼写允许目录内符号链接的名称，可通过 create_directory、write_file 和 move_file 在允许目录外创建文件和目录。受影响版本为 2026.8.31（尚无修复版本）和 1.0.0 及以上、2.0.1 之前的版本，2.0.1 已修复，属 2026.8.31 引入的回归。原因是 resolveUnicodeEquivalentPath() 按字符串比较路径组件，LINK 不匹配 link，未做 realpath() 即返回剩余路径，操作系统创建文件时跟随符号链接。