REDAXO 5.21.5

REDAXO-Core 5.21.5 – 06.10.2026

Security

• Package-API (rex_api_package) prüfte nicht, ob der Benutzer Admin ist; dadurch konnten Benutzer, denen in der laufenden Session die Admin-Rechte entzogen wurden, weiterhin Addons installieren, deinstallieren, aktivieren, deaktivieren und löschen (GHSA-fw98-549m-whxx) (gemeldet von @AlpetGexha) (@gharlan)
• Safe Mode: Aktivieren und Deaktivieren über den Parameter safemode erfordert ein gültiges CSRF-Token, vorher ließ sich der Safe Mode per präpariertem Link umschalten (GHSA-423v-8x3h-gxr3) (gemeldet von @manus-pi, @AlpetGexha) (@gharlan)
• Bei Passwortänderung werden auch Session-ID und Eingeloggt-bleiben-Key der aktuellen Session erneuert, sodass zuvor ausgegebene Werte nicht mehr gültig sind (GHSA-mjjv-vffq-g5h6) (gemeldet von @AlpetGexha) (@gharlan)

Bugfixes

• Verzeichnisschutz-Check:
  • Pro Tag wird nur noch ein Verzeichnis geprüft, da die Requests Tools wie fail2ban auslösen und so Backend-Benutzer aussperren konnten (@gharlan)
  • Neue Config-Option use_directory_protection_check, um den täglichen Check abzuschalten (@gharlan)
• Sporadischer Fehler „No clang found“, wenn der Cache parallel von einem anderen Request gelöscht wurde (@gharlan)
• rex_sql_table:
  • Spaltentypen und Default-Werte werden zwischen MySQL und MariaDB einheitlich normalisiert, sodass ensure nicht bei jedem Aufruf erneut Spalten ändert (@gharlan)
  • Bei mehreren Datenbanken auf dem Server wurden Fremdschlüssel teils mit Spalten gleichnamiger Constraints aus anderen Datenbanken ausgelesen (@tyrant88)
• Instance-Pool: Nicht gefundene Instanzen (z.B. rex_article::get mit nicht existierender ID) wurden nicht gecacht, sodass jeder Aufruf erneut DB bzw. Cache abfragte (@gharlan)
• rex_file::mimeType: Der unter PHP 8.6 gelieferte MIME-Type text/javascript wird auf application/javascript normalisiert (@gharlan)
• Die Library voku/portable-utf8 ändert nicht mehr global die Encoding-Einstellungen, unter PHP 8.6 kam es dadurch zu Deprecated-Meldungen (@gharlan)
• Session-Übersicht im Profil: Die aktuelle Session wird immer zuerst gelistet (@gharlan)
• Metadaten aus der package.yml (Version, Supportpage, Name) werden in Addon-Liste, Hilfe- und Credits-Seite escaped ausgegeben (@gharlan)

backup 2.10.4 – 06.10.2026

Security

• Benutzer mit der Berechtigung backup[export], aber ohne Admin-Rechte, können nur noch die REDAXO-Tabellen (mit Tabellenprefix) exportieren, ausgenommen rex_user, rex_user_passkey und rex_user_session; vorher waren alle Tabellen der Datenbank exportierbar, inklusive Passwort-Hashes und Eingeloggt-bleiben-Keys (GHSA-phjc-vx3j-58r3) (gemeldet von @alham-rizvi, @AlpetGexha) (@gharlan)

Bugfixes

• Dateinamen in der Import-Liste werden escaped ausgegeben (@gharlan)

cronjob 2.12.2 – 06.10.2026

Bugfixes

• Englische Übersetzung korrigiert (@gharlan)

install 2.14.3 – 06.10.2026

Bugfixes

• Versionen aus der package.yml werden auf der Upload-Seite escaped ausgegeben (@gharlan)

media_manager 2.18.4 – 06.10.2026

Bugfixes

• WebP- und AVIF-Dateien, die GD nicht lesen kann (z.B. animierte WebP), führten zu einem TypeError statt zur regulären Not-found-Behandlung (@tyrant88)

mediapool 2.18.5 – 06.10.2026

Bugfixes

• EPS-Dateien werden auch mit dem MIME-Type image/x-eps akzeptiert, den neuere libmagic-Versionen liefern (@gharlan)

structure 2.20.5 – 06.10.2026

Bugfixes

• History: Die Spalte status fehlte in der Install-Definition der History-Tabelle, sie wurde erst nachträglich am Tabellenende ergänzt; nun wird sie direkt an der richtigen Position angelegt (@gharlan)