redaxo/core 5.21.6 on GitHub

REDAXO-Core 5.21.6 – 25.10.2026

Session-Übersicht (Profil und Benutzerverwaltung): Die Session-IDs wurden im Klartext ausgegeben und beim Entfernen einer Session als URL-Parameter übertragen; nun wird nur noch ein gekürzter Hash angezeigt und verwendet (gemeldet von @skerbis) (@gharlan)

Überschreitet ein Request post_max_size, verwirft PHP sämtliche POST-Daten und Uploads; das Backend zeigt nun eine Fehlermeldung, statt das Formular kommentarlos neu zu laden (@gharlan)
rex_user::clearInstance konnte im Instance-Pool gecachte null-Einträge nicht entfernen (@gharlan)
Vendor-Updates (u.a. enshrined/svg-sanitize 1.1 mit gehärteter SVG-Bereinigung) (@gharlan)

Content/History: Redakteure ohne die Berechtigung version[live_version] konnten die Live-Version von Artikeln ändern, da nur die Bearbeitungsseite auf die Arbeitsversion beschränkt war: Slices in der Live-Version anlegen, bearbeiten, löschen, online/offline schalten und verschieben, Inhalte zwischen Sprachen kopieren sowie History-Stände wiederherstellen (GHSA-6w5f-mr8f-5964) (gemeldet von @skerbis) (@gharlan)

Import: Die angezeigte maximale Upload-Größe berücksichtigt auch post_max_size (@gharlan)

Customizer: Bei erneutem rex:ready wurden CodeMirror-Editoren mehrfach erzeugt, und beim Wechsel zwischen Dark und Light Mode wurde nur ein Editor umgeschaltet (@gharlan)

Gängige Audio- und Videoformate (m4a, m4v, oga, ogg, ogv, wav, weba, webm) in der MIME-Type-Allowlist ergänzt, vorher konnten sie nicht hochgeladen werden (@gharlan)
Die angezeigte maximale Upload-Größe und die Fehlermeldung bei zu großen Dateien berücksichtigen auch post_max_size (@gharlan)
Instance-Pool:
- Nach dem Hinzufügen eines Mediums lieferte rex_media::get im selben Request null für die neue Datei (z.B. in MEDIA_ADDED) (@gharlan)
- rex_media::getRootMedia wurde beim Löschen der Medienlisten-Caches nicht zurückgesetzt (@gharlan)
- Die Instance-Pools werden beim Löschen des Caches (CACHE_DELETED) geleert (@gharlan)