redaxo/core 5.21.5 on GitHub

REDAXO-Core 5.21.5 – 06.10.2026

Package-API (rex_api_package) prüfte nicht, ob der Benutzer Admin ist; dadurch konnten Benutzer, denen in der laufenden Session die Admin-Rechte entzogen wurden, weiterhin Addons installieren, deinstallieren, aktivieren, deaktivieren und löschen (GHSA-fw98-549m-whxx) (gemeldet von @AlpetGexha) (@gharlan)
Safe Mode: Aktivieren und Deaktivieren über den Parameter safemode erfordert ein gültiges CSRF-Token, vorher ließ sich der Safe Mode per präpariertem Link umschalten (GHSA-423v-8x3h-gxr3) (gemeldet von @manus-pi, @AlpetGexha) (@gharlan)
Bei Passwortänderung werden auch Session-ID und Eingeloggt-bleiben-Key der aktuellen Session erneuert, sodass zuvor ausgegebene Werte nicht mehr gültig sind (GHSA-mjjv-vffq-g5h6) (gemeldet von @AlpetGexha) (@gharlan)

Verzeichnisschutz-Check:
- Pro Tag wird nur noch ein Verzeichnis geprüft, da die Requests Tools wie fail2ban auslösen und so Backend-Benutzer aussperren konnten (@gharlan)
- Neue Config-Option use_directory_protection_check, um den täglichen Check abzuschalten (@gharlan)
Sporadischer Fehler „No clang found“, wenn der Cache parallel von einem anderen Request gelöscht wurde (@gharlan)
rex_sql_table:
- Spaltentypen und Default-Werte werden zwischen MySQL und MariaDB einheitlich normalisiert, sodass ensure nicht bei jedem Aufruf erneut Spalten ändert (@gharlan)
- Bei mehreren Datenbanken auf dem Server wurden Fremdschlüssel teils mit Spalten gleichnamiger Constraints aus anderen Datenbanken ausgelesen (@tyrant88)
Instance-Pool: Nicht gefundene Instanzen (z.B. rex_article::get mit nicht existierender ID) wurden nicht gecacht, sodass jeder Aufruf erneut DB bzw. Cache abfragte (@gharlan)
rex_file::mimeType: Der unter PHP 8.6 gelieferte MIME-Type text/javascript wird auf application/javascript normalisiert (@gharlan)
Die Library voku/portable-utf8 ändert nicht mehr global die Encoding-Einstellungen, unter PHP 8.6 kam es dadurch zu Deprecated-Meldungen (@gharlan)
Session-Übersicht im Profil: Die aktuelle Session wird immer zuerst gelistet (@gharlan)
Metadaten aus der package.yml (Version, Supportpage, Name) werden in Addon-Liste, Hilfe- und Credits-Seite escaped ausgegeben (@gharlan)

Benutzer mit der Berechtigung backup[export], aber ohne Admin-Rechte, können nur noch die REDAXO-Tabellen (mit Tabellenprefix) exportieren, ausgenommen rex_user, rex_user_passkey und rex_user_session; vorher waren alle Tabellen der Datenbank exportierbar, inklusive Passwort-Hashes und Eingeloggt-bleiben-Keys (GHSA-phjc-vx3j-58r3) (gemeldet von @alham-rizvi, @AlpetGexha) (@gharlan)

Versionen aus der package.yml werden auf der Upload-Seite escaped ausgegeben (@gharlan)

WebP- und AVIF-Dateien, die GD nicht lesen kann (z.B. animierte WebP), führten zu einem TypeError statt zur regulären Not-found-Behandlung (@tyrant88)

EPS-Dateien werden auch mit dem MIME-Type image/x-eps akzeptiert, den neuere libmagic-Versionen liefern (@gharlan)

History: Die Spalte status fehlte in der Install-Definition der History-Tabelle, sie wurde erst nachträglich am Tabellenende ergänzt; nun wird sie direkt an der richtigen Position angelegt (@gharlan)