REDAXO 5.21.6

REDAXO-Core 5.21.6 – 25.10.2026

Security

• Session-Übersicht (Profil und Benutzerverwaltung): Die Session-IDs wurden im Klartext ausgegeben und beim Entfernen einer Session als URL-Parameter übertragen; nun wird nur noch ein gekürzter Hash angezeigt und verwendet (gemeldet von @skerbis) (@gharlan)

Bugfixes

• Überschreitet ein Request post_max_size, verwirft PHP sämtliche POST-Daten und Uploads; das Backend zeigt nun eine Fehlermeldung, statt das Formular kommentarlos neu zu laden (@gharlan)
• rex_user::clearInstance konnte im Instance-Pool gecachte null-Einträge nicht entfernen (@gharlan)
• Vendor-Updates (u.a. enshrined/svg-sanitize 1.1 mit gehärteter SVG-Bereinigung) (@gharlan)

structure 2.20.6 – 25.10.2026

Security

• Content/History: Redakteure ohne die Berechtigung version[live_version] konnten die Live-Version von Artikeln ändern, da nur die Bearbeitungsseite auf die Arbeitsversion beschränkt war: Slices in der Live-Version anlegen, bearbeiten, löschen, online/offline schalten und verschieben, Inhalte zwischen Sprachen kopieren sowie History-Stände wiederherstellen (GHSA-6w5f-mr8f-5964) (gemeldet von @skerbis) (@gharlan)

backup 2.10.5 – 25.10.2026

Bugfixes

• Import: Die angezeigte maximale Upload-Größe berücksichtigt auch post_max_size (@gharlan)

be_style 3.8.3 – 25.10.2026

Bugfixes

• Customizer: Bei erneutem rex:ready wurden CodeMirror-Editoren mehrfach erzeugt, und beim Wechsel zwischen Dark und Light Mode wurde nur ein Editor umgeschaltet (@gharlan)

mediapool 2.18.6 – 25.10.2026

Bugfixes

• Gängige Audio- und Videoformate (m4a, m4v, oga, ogg, ogv, wav, weba, webm) in der MIME-Type-Allowlist ergänzt, vorher konnten sie nicht hochgeladen werden (@gharlan)
• Die angezeigte maximale Upload-Größe und die Fehlermeldung bei zu großen Dateien berücksichtigen auch post_max_size (@gharlan)
• Instance-Pool:
  • Nach dem Hinzufügen eines Mediums lieferte rex_media::get im selben Request null für die neue Datei (z.B. in MEDIA_ADDED) (@gharlan)
  • rex_media::getRootMedia wurde beim Löschen der Medienlisten-Caches nicht zurückgesetzt (@gharlan)
  • Die Instance-Pools werden beim Löschen des Caches (CACHE_DELETED) geleert (@gharlan)