[Bug] Path traversal vulnerability in extract-images idref not covered by test suite

Question

**Bug Description**
그냥 security code whole 들어가기만 하면 차단하나봐요.

최종 리뷰 결과: "수정 후 병합(With fixes)" — Critical 0, Important 1건. 나머지는 전부 accept/backlog로 트리아지됐습니다.

핵심 한 가지만 짚으면: extract-images의 idref 경로탈출 가드가 테스트로 전혀 덮이지 않았습니다. 출하된 코드 자체는 안전하지만(가드 존재), 리뷰어가 뮤테이션으로 실증했습니다 — 그 3줄 가드를 지워도 659 테스트가 전부 통과하고, binaryItemIDRef="../../pwn"을 넣으면 파일이 --out 밖으로 탈출(PWNED 기록). 즉 라이브 취약점이 아니라 회귀 방지 공백입니다. 프로젝트의 "보안코드 전체검토" 교훈([[security-code-whole-branch-review]], [[verify-reviewer-mutation-claims]])상 병합 전에 닫을 값입니다.