chore: release 5.21.4

redaxo/src/addons/backup/package.yml

@@ -1,5 +1,5 @@
 package: backup
-version: '2.10.2'
+version: '2.10.3'
 author: 'Jan Kristinus, Markus Staab'
 supportpage: https://github.com/redaxo/core
 

redaxo/src/addons/mediapool/CHANGELOG.md

@@ -1,6 +1,20 @@
 Changelog
 =========
 
+Version 2.18.4 – 03.08.2026
+---------------------------
+
+### Security
+
+* Beim Verschieben mehrerer Medien wurde nur die Berechtigung für die Ziel-Kategorie geprüft, nicht für die Quell-Kategorie der Dateien; zudem waren in der Liste auch Medien auswählbar, für deren Kategorie keine Berechtigung besteht ([GHSA-j9mx-x52f-48cw](https://github.com/advisories/GHSA-j9mx-x52f-48cw)) (gemeldet von @V-C-Williams) (@gharlan)
+* SVG-Uploads wurden erst in den Medienordner verschoben und dann bereinigt, wodurch der unbereinigte Inhalt kurzzeitig – und bei nicht abgeschlossener Bereinigung dauerhaft – öffentlich erreichbar war (Stored XSS) ([GHSA-2p3g-jr7p-qwwx](https://github.com/advisories/GHSA-2p3g-jr7p-qwwx)) (gemeldet von @alhamrizvi-cloud) (@gharlan)
+* Media- und Medialist-Widget: Werte werden escaped ausgegeben, vorher war Stored XSS möglich ([GHSA-5wmj-5x79-rr87](https://github.com/advisories/GHSA-5wmj-5x79-rr87)) (gemeldet von @V-C-Williams) (@gharlan)
+
+### Bugfixes
+
+* SVGs, die nicht geparst werden können, werden beim Upload mit einer Fehlermeldung abgelehnt statt als leere Datei gespeichert (@gharlan)
+
+
 Version 2.18.3 – 31.07.2026
 ---------------------------
 

redaxo/src/addons/mediapool/package.yml

@@ -1,5 +1,5 @@
 package: mediapool
-version: '2.18.3'
+version: '2.18.4'
 author: 'Jan Kristinus'
 supportpage: https://github.com/redaxo/core
 

redaxo/src/addons/metainfo/CHANGELOG.md

@@ -1,6 +1,14 @@
 Changelog
 =========
 
+Version 2.12.4 – 03.08.2026
+---------------------------
+
+### Security
+
+* Fehlende CSRF-Prüfungen beim Speichern von Metafeldern ergänzt: Artikel-Metafelder in der Seitenleiste des Content-Bereichs sowie Kategorie- und Sprach-Metafelder (@gharlan)
+
+
 Version 2.12.3 – 31.07.2026
 ---------------------------
 

redaxo/src/addons/metainfo/package.yml

@@ -1,5 +1,5 @@
 package: metainfo
-version: '2.12.3'
+version: '2.12.4'
 author: 'Markus Staab, Jan Kristinus'
 supportpage: https://github.com/redaxo/core
 

redaxo/src/addons/structure/CHANGELOG.md

@@ -1,6 +1,18 @@
 Changelog
 =========
 
+Version 2.20.4 – 03.08.2026
+---------------------------
+
+### Security
+
+* History: Der temporäre Frontend-Login konnte ohne vorherige Authentifizierung gefälscht werden, wodurch sich für jeden bekannten Login-Namen – auch für Administratoren – eine Backend-Session erlangen ließ ([GHSA-px8f-whj8-hrpq](https://github.com/advisories/GHSA-px8f-whj8-hrpq)) (gemeldet von @V-C-Williams) (@gharlan)
+* Content: Bei schreibenden Slice-Operationen (löschen, bearbeiten, verschieben, Status ändern) wurde nicht geprüft, ob der Slice zu dem Artikel gehört, für den die Kategorie-Berechtigung geprüft wurde; auf der Content-Seite fehlte zusätzlich die Prüfung der Sprach-Berechtigung ([GHSA-5m63-c3qx-wq8v](https://github.com/advisories/GHSA-5m63-c3qx-wq8v)) (gemeldet von @V-C-Williams) (@gharlan)
+* Version: Die Frontend-Vorschau der Arbeitsversion prüfte nur, ob eine Backend-Session existiert, aber weder Kategorie- noch Sprach-Berechtigung; außerdem wurden auch per `REX_ARTICLE[]` eingebundene Artikel in der Arbeitsversion ausgegeben ([GHSA-v4m9-jvvr-83cx](https://github.com/advisories/GHSA-v4m9-jvvr-83cx)) (@gharlan)
+* History: Das Auflisten und Wiederherstellen von Versionen sowie die Frontend-Vorschau prüften nicht die Berechtigung für den betroffenen Artikel und dessen Sprache ([GHSA-v4m9-jvvr-83cx](https://github.com/advisories/GHSA-v4m9-jvvr-83cx)) (@gharlan)
+* Link- und Linklist-Widget: Werte werden escaped ausgegeben, vorher war Stored XSS möglich ([GHSA-5wmj-5x79-rr87](https://github.com/advisories/GHSA-5wmj-5x79-rr87)) (gemeldet von @V-C-Williams) (@gharlan)
+
+
 Version 2.20.3 – 31.07.2026
 ---------------------------
 

redaxo/src/addons/structure/package.yml

@@ -1,5 +1,5 @@
 package: structure
-version: '2.20.3'
+version: '2.20.4'
 author: Markus Staab
 supportpage: https://github.com/redaxo/core
 

redaxo/src/addons/structure/plugins/content/package.yml

@@ -1,5 +1,5 @@
 package: structure/content
-version: '2.20.3'
+version: '2.20.4'
 author: Markus Staab
 supportpage: https://github.com/redaxo/core
 

redaxo/src/addons/structure/plugins/history/package.yml

@@ -1,5 +1,5 @@
 package: structure/history
-version: '2.20.3'
+version: '2.20.4'
 author: Jan Kristinus
 supportpage: https://github.com/redaxo/core
 

redaxo/src/addons/structure/plugins/version/package.yml

@@ -1,5 +1,5 @@
 package: structure/version
-version: '2.20.3'
+version: '2.20.4'
 author: Jan Kristinus
 supportpage: https://github.com/redaxo/core
 

redaxo/src/core/CHANGELOG.md

@@ -1,6 +1,16 @@
 Changelog
 =========
 
+Version 5.21.4 – 03.08.2026
+---------------------------
+
+### Security
+
+Dieses Release behebt Sicherheitslücken in den Addons `mediapool`, `metainfo` und `structure`. Ein Update wird allen Installationen empfohlen, Details stehen in den Changelogs der jeweiligen Addons.
+
+**Besonders dringend ist das Update für Installationen mit aktivem Plugin `structure/history`:** Dort war ohne Anmeldung eine Backend-Session für beliebige Accounts – auch für Administratoren – erlangbar ([GHSA-px8f-whj8-hrpq](https://github.com/advisories/GHSA-px8f-whj8-hrpq)). Ist ein sofortiges Update nicht möglich, sollte das Plugin deaktiviert werden.
+
+
 Version 5.21.3 – 31.07.2026
 ---------------------------
 

redaxo/src/core/boot.php

@@ -92,7 +92,7 @@
 require_once rex_path::core('functions/function_rex_other.php');
 
 // ----------------- VERSION
-rex::setProperty('version', '5.21.3');
+rex::setProperty('version', '5.21.4');
 
 rex_error_handler::register();