diff --git a/redaxo/src/addons/backup/package.yml b/redaxo/src/addons/backup/package.yml
index 3f5b3c6a92..ed0bf37e5e 100644
--- a/redaxo/src/addons/backup/package.yml
+++ b/redaxo/src/addons/backup/package.yml
@@ -1,5 +1,5 @@
 package: backup
-version: '2.10.2'
+version: '2.10.3'
 author: 'Jan Kristinus, Markus Staab'
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/addons/mediapool/CHANGELOG.md b/redaxo/src/addons/mediapool/CHANGELOG.md
index 31b3e78006..a899c34016 100644
--- a/redaxo/src/addons/mediapool/CHANGELOG.md
+++ b/redaxo/src/addons/mediapool/CHANGELOG.md
@@ -1,6 +1,20 @@
 Changelog
 =========
 
+Version 2.18.4 – 03.08.2026
+---------------------------
+
+### Security
+
+* Beim Verschieben mehrerer Medien wurde nur die Berechtigung für die Ziel-Kategorie geprüft, nicht für die Quell-Kategorie der Dateien; zudem waren in der Liste auch Medien auswählbar, für deren Kategorie keine Berechtigung besteht ([GHSA-j9mx-x52f-48cw](https://github.com/advisories/GHSA-j9mx-x52f-48cw)) (gemeldet von @V-C-Williams) (@gharlan)
+* SVG-Uploads wurden erst in den Medienordner verschoben und dann bereinigt, wodurch der unbereinigte Inhalt kurzzeitig – und bei nicht abgeschlossener Bereinigung dauerhaft – öffentlich erreichbar war (Stored XSS) ([GHSA-2p3g-jr7p-qwwx](https://github.com/advisories/GHSA-2p3g-jr7p-qwwx)) (gemeldet von @alhamrizvi-cloud) (@gharlan)
+* Media- und Medialist-Widget: Werte werden escaped ausgegeben, vorher war Stored XSS möglich ([GHSA-5wmj-5x79-rr87](https://github.com/advisories/GHSA-5wmj-5x79-rr87)) (gemeldet von @V-C-Williams) (@gharlan)
+
+### Bugfixes
+
+* SVGs, die nicht geparst werden können, werden beim Upload mit einer Fehlermeldung abgelehnt statt als leere Datei gespeichert (@gharlan)
+
+
 Version 2.18.3 – 31.07.2026
 ---------------------------
 
diff --git a/redaxo/src/addons/mediapool/package.yml b/redaxo/src/addons/mediapool/package.yml
index 458f5f9d85..3c0144ea0f 100644
--- a/redaxo/src/addons/mediapool/package.yml
+++ b/redaxo/src/addons/mediapool/package.yml
@@ -1,5 +1,5 @@
 package: mediapool
-version: '2.18.3'
+version: '2.18.4'
 author: 'Jan Kristinus'
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/addons/metainfo/CHANGELOG.md b/redaxo/src/addons/metainfo/CHANGELOG.md
index e914706ad7..50edb7ace1 100644
--- a/redaxo/src/addons/metainfo/CHANGELOG.md
+++ b/redaxo/src/addons/metainfo/CHANGELOG.md
@@ -1,6 +1,14 @@
 Changelog
 =========
 
+Version 2.12.4 – 03.08.2026
+---------------------------
+
+### Security
+
+* Fehlende CSRF-Prüfungen beim Speichern von Metafeldern ergänzt: Artikel-Metafelder in der Seitenleiste des Content-Bereichs sowie Kategorie- und Sprach-Metafelder (@gharlan)
+
+
 Version 2.12.3 – 31.07.2026
 ---------------------------
 
diff --git a/redaxo/src/addons/metainfo/package.yml b/redaxo/src/addons/metainfo/package.yml
index f2e953f475..2c2caf57e9 100644
--- a/redaxo/src/addons/metainfo/package.yml
+++ b/redaxo/src/addons/metainfo/package.yml
@@ -1,5 +1,5 @@
 package: metainfo
-version: '2.12.3'
+version: '2.12.4'
 author: 'Markus Staab, Jan Kristinus'
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/addons/structure/CHANGELOG.md b/redaxo/src/addons/structure/CHANGELOG.md
index 737d292257..87285447c7 100644
--- a/redaxo/src/addons/structure/CHANGELOG.md
+++ b/redaxo/src/addons/structure/CHANGELOG.md
@@ -1,6 +1,18 @@
 Changelog
 =========
 
+Version 2.20.4 – 03.08.2026
+---------------------------
+
+### Security
+
+* History: Der temporäre Frontend-Login konnte ohne vorherige Authentifizierung gefälscht werden, wodurch sich für jeden bekannten Login-Namen – auch für Administratoren – eine Backend-Session erlangen ließ ([GHSA-px8f-whj8-hrpq](https://github.com/advisories/GHSA-px8f-whj8-hrpq)) (gemeldet von @V-C-Williams) (@gharlan)
+* Content: Bei schreibenden Slice-Operationen (löschen, bearbeiten, verschieben, Status ändern) wurde nicht geprüft, ob der Slice zu dem Artikel gehört, für den die Kategorie-Berechtigung geprüft wurde; auf der Content-Seite fehlte zusätzlich die Prüfung der Sprach-Berechtigung ([GHSA-5m63-c3qx-wq8v](https://github.com/advisories/GHSA-5m63-c3qx-wq8v)) (gemeldet von @V-C-Williams) (@gharlan)
+* Version: Die Frontend-Vorschau der Arbeitsversion prüfte nur, ob eine Backend-Session existiert, aber weder Kategorie- noch Sprach-Berechtigung; außerdem wurden auch per `REX_ARTICLE[]` eingebundene Artikel in der Arbeitsversion ausgegeben ([GHSA-v4m9-jvvr-83cx](https://github.com/advisories/GHSA-v4m9-jvvr-83cx)) (@gharlan)
+* History: Das Auflisten und Wiederherstellen von Versionen sowie die Frontend-Vorschau prüften nicht die Berechtigung für den betroffenen Artikel und dessen Sprache ([GHSA-v4m9-jvvr-83cx](https://github.com/advisories/GHSA-v4m9-jvvr-83cx)) (@gharlan)
+* Link- und Linklist-Widget: Werte werden escaped ausgegeben, vorher war Stored XSS möglich ([GHSA-5wmj-5x79-rr87](https://github.com/advisories/GHSA-5wmj-5x79-rr87)) (gemeldet von @V-C-Williams) (@gharlan)
+
+
 Version 2.20.3 – 31.07.2026
 ---------------------------
 
diff --git a/redaxo/src/addons/structure/package.yml b/redaxo/src/addons/structure/package.yml
index 569836f841..06410c1e60 100644
--- a/redaxo/src/addons/structure/package.yml
+++ b/redaxo/src/addons/structure/package.yml
@@ -1,5 +1,5 @@
 package: structure
-version: '2.20.3'
+version: '2.20.4'
 author: Markus Staab
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/addons/structure/plugins/content/package.yml b/redaxo/src/addons/structure/plugins/content/package.yml
index 86478e2805..4016c3d772 100644
--- a/redaxo/src/addons/structure/plugins/content/package.yml
+++ b/redaxo/src/addons/structure/plugins/content/package.yml
@@ -1,5 +1,5 @@
 package: structure/content
-version: '2.20.3'
+version: '2.20.4'
 author: Markus Staab
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/addons/structure/plugins/history/package.yml b/redaxo/src/addons/structure/plugins/history/package.yml
index ad86bbf1a8..d59ada7ce1 100644
--- a/redaxo/src/addons/structure/plugins/history/package.yml
+++ b/redaxo/src/addons/structure/plugins/history/package.yml
@@ -1,5 +1,5 @@
 package: structure/history
-version: '2.20.3'
+version: '2.20.4'
 author: Jan Kristinus
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/addons/structure/plugins/version/package.yml b/redaxo/src/addons/structure/plugins/version/package.yml
index bc15fb6303..3f3f7089ed 100644
--- a/redaxo/src/addons/structure/plugins/version/package.yml
+++ b/redaxo/src/addons/structure/plugins/version/package.yml
@@ -1,5 +1,5 @@
 package: structure/version
-version: '2.20.3'
+version: '2.20.4'
 author: Jan Kristinus
 supportpage: https://github.com/redaxo/core
 
diff --git a/redaxo/src/core/CHANGELOG.md b/redaxo/src/core/CHANGELOG.md
index feb2281b36..791c498db4 100644
--- a/redaxo/src/core/CHANGELOG.md
+++ b/redaxo/src/core/CHANGELOG.md
@@ -1,6 +1,16 @@
 Changelog
 =========
 
+Version 5.21.4 – 03.08.2026
+---------------------------
+
+### Security
+
+Dieses Release behebt Sicherheitslücken in den Addons `mediapool`, `metainfo` und `structure`. Ein Update wird allen Installationen empfohlen, Details stehen in den Changelogs der jeweiligen Addons.
+
+**Besonders dringend ist das Update für Installationen mit aktivem Plugin `structure/history`:** Dort war ohne Anmeldung eine Backend-Session für beliebige Accounts – auch für Administratoren – erlangbar ([GHSA-px8f-whj8-hrpq](https://github.com/advisories/GHSA-px8f-whj8-hrpq)). Ist ein sofortiges Update nicht möglich, sollte das Plugin deaktiviert werden.
+
+
 Version 5.21.3 – 31.07.2026
 ---------------------------
 
diff --git a/redaxo/src/core/boot.php b/redaxo/src/core/boot.php
index 937718d21f..4f6bc8a388 100644
--- a/redaxo/src/core/boot.php
+++ b/redaxo/src/core/boot.php
@@ -92,7 +92,7 @@
 require_once rex_path::core('functions/function_rex_other.php');
 
 // ----------------- VERSION
-rex::setProperty('version', '5.21.3');
+rex::setProperty('version', '5.21.4');
 
 rex_error_handler::register();