Éclair 1.10.3: erstes Sicherheitsaudit, 15 Schwachstellen behoben
Von Thierry Gustin
Veröffentlicht am
Aktualisiert am
5 Min. Lesezeit
Inhalt
Éclair 1.10.3, erschienen am 3. November 2026, behebt alles, was das erste vollständige Sicherheitsaudit des Éclair-Codes gefunden hat: 15 bestätigte Schwachstellen, davon 3 mittlere, keine kritische und keine hohe, dazu 8 Hinweise, die vom Server oder vom Browser abhingen. Alles ist im Code behoben. Läuft deine Website mit 1.10, genügt für das Update ein Klick.
Was ändert sich mit Éclair 1.10.3?
| Punkt | Was du wissen solltest |
|---|---|
| Audit Nr. 1 | Der gesamte Code von 1.10.2, geprüft von 86 Agenten, 50 Bereiche abgedeckt |
| Bestätigte Schwachstellen | 15: 3 mittlere, 12 niedrige, 0 hohe, 0 kritische |
| Zu validierende Hinweise | 8, abhängig vom Hosting oder vom Browser, alle im Code geschlossen |
| Härtungen | Mehr als 50 Empfehlungen des Audits umgesetzt |
| Automatische Prüfungen | Von 620 auf 918, dazu ein echtes Update von 1.10.2 auf 1.10.3, getestet über GitHub |
| Archiv | 619 KB (602 KB bei 1.10.2) |
| Deine öffentliche Website | Unverändert: Veröffentlichte Seiten bleiben Byte für Byte gleich |
Diese Korrekturen folgen direkt auf 1.10.2, die am Vortag erschienen ist und die ich dir weiter unten vorstelle. Der vollständige Auditbericht ist online: Er ist auf Englisch, im PDF-Format, und umfasst 18 Seiten.
Wie wurde das Audit durchgeführt?
Das Audit folgt der öffentlichen Methode security-audit von Cloudflare. Sie teilt die Software in abzudeckende Bereiche auf und schickt dann Wellen unabhängiger „Jäger“-Agenten los. Jeder gefundene Hinweis wird anschließend von anderen Agenten erneut geprüft, die ihn nicht entdeckt haben, bevor er in den Bericht kommt. Ein Hinweis endet als bestätigt, als zu validieren oder als verworfen.
Für 1.10.2 ergibt das:
- 86 Agenten: 4 für die Erkundung, 22 Jäger in 5 Wellen, 6 Abdeckungskritiker und 54 Prüfer;
- 50 abgedeckte Bereiche, dazu eine Schlussprüfung, die keine Lücke gefunden hat;
- 24 abschließende Einträge: 15 bestätigte Schwachstellen, 8 zu validierende Hinweise, 1 verworfener Hinweis.
Alles geschah durch Lesen des Codes und lokale Tests, in einer vom Betriebssystem isolierten Sandbox: kein Netzwerkzugang, Testdaten und Testschlüssel, und keine echte Website wurde abgetastet. Deine Website diente also nie als Testfeld.
Das Audit kommt zu dem Schluss, dass der Code insgesamt defensiv ist: Kryptografie, Signatur der Updates, Bereinigung der Inhalte, Sitzungen und Formularschutz halten auf den meisten ihrer Wege.
Welche Schwachstellen wurden behoben?
Zuerst die drei mittleren Schwachstellen:
- Die Abmelde-Schaltflächen „Meine anderen Geräte abmelden“ und „Alle abmelden“ erneuerten ungewollt die Passwortbestätigung. Das tun sie nicht mehr.
- Reservierte Weiterleitungen: Ein Redakteur kann die Adressen
/.well-known/und Éclairs interne Adressen/_eclair/nicht mehr umleiten. Bestehende Weiterleitungen dort sind deaktiviert, und du kannst sie löschen. Ein Administrator kann weiterhin andere/.well-known/-Adressen umleiten, etwachange-password. - Eine Obergrenze für Inhalte: Eine Website hält höchstens 3.000 Inhalte, die KI erstellt ab 500 keine Entwürfe mehr, und der Suchindex behält nur veröffentlichten Text, bis 16 MB. Deine bestehenden Inhalte bleiben immer bearbeitbar.
Die 12 niedrigen Schwachstellen betreffen vor allem abgeleitete Kopien und Grenzen, die ihr Versprechen nicht hielten. Ein gelöschtes Konto verschwindet jetzt aus dem Seiten-Cache. Ein Backup enthält nie den Tresor (API-Schlüssel, Google-Drive-Verbindung), auch nicht bei einer falsch geschriebenen Einstellung. Die Sendegrenzen des Kontaktformulars und des MCP-Konnektors sind jetzt strikt. Und die Update-Ankündigungen tragen eine signierte Seriennummer und ein Ablaufdatum.
Die 8 Hinweise hingen von einer Tatsache ab, die offline nicht zu beobachten ist, etwa dem Verhalten eines Hosters. Trotzdem sind alle im Code geschlossen. Der Bericht enthält keine Details zur Ausnutzung: Für jeden Punkt sagt er, was falsch war und wie es behoben wurde.
Was ändert sich in deinem Adminbereich?
Die meisten Korrekturen sind unsichtbar. Einige ändern deine Handgriffe:
- 🔒 Zwei-Faktor-Authentifizierung: Um das Handy zu wechseln, deaktivierst du die 2FA mit deinem aktuellen Passwort und aktivierst sie dann wieder. Das geht unter Mein Profil.
- 🔑 Gewohnte Geräte: Nach dem Update wird jedes Gerät bei seiner nächsten erfolgreichen Anmeldung wieder „gewohnt“.
- ☁️ Google Drive: Eine Verbindung von vor 1.10.3 wird markiert. Trenne sie und verbinde sie neu, damit Éclair festhält, wer sie eingerichtet hat.
- 🤖 MCP-Konnektor: Eine andere App als Claude oder ChatGPT fragt immer nach deinem Passwort, und die Schaltfläche Erlauben wird nach einem kurzen Moment aktiv, sobald du die Maus bewegst oder den Bildschirm berührst.
- ✍️ Editor: Die lokale Kopie deiner ungespeicherten Arbeit gehört dem angemeldeten Konto und wird beim Abmelden gelöscht.
- 💾 Kontaktformular: Sind die 100 Nachrichten pro Tag für die ganze Website erreicht, lehnt es 24 Stunden lang alle ab.
Nutzt du Nginx, aktualisiere deine Regeln mit dem Leitfaden: media/ liefert keine .js- oder .mjs-Dateien mehr aus.
Was hat 1.10.2 am Vortag behoben?
Version 1.10.2, erschienen am 2. November 2026, löste zwei konkrete Probleme.
- Der Virenscanner von o2switch blockierte das Archiv im Dateimanager. Es war ein Fehlalarm beim Code für das Update mit einem Klick. Die Dateioperationen liegen jetzt in einer kleinen eigenen Klasse, und ein Test prüft, dass keine ausgelieferte Datei die verdächtige Abfolge wiederholt. Deine Website merkt keinen Unterschied.
- Google Drive steht jeder Website offen. Die Verbindung stützte sich auf ins Archiv eingebaute Google-Zugangsdaten, die nie eingerichtet wurden: Die Karte blieb geschlossen. Jede Website kann jetzt ihre eigene Google-App nutzen. Sicherheit › Backups auf Google Drive führt dich Schritt für Schritt (kostenlos, etwa zehn Minuten, einmalig), danach fügst du die Client-ID und den Clientschlüssel ein. Der Schlüssel wird auf deinem Server verschlüsselt.
Wie wechselst du auf Éclair 1.10.3?
Ab 1.10.0 erledigst du das Update im Adminbereich:
- Arbeiten mehrere Konten an deiner Website, speichere offene Änderungen: Ungespeicherte Kopien aus 1.10.2 bleiben nicht erhalten.
- Erstelle ein Backup: Backup herunterladen oder ein Backup auf Google Drive.
- Öffne Adminbereich › Updates, setze das Häkchen beim Backup und klicke auf Aktualisieren.
Das Update installiert die neueste verfügbare Version, die diese Korrekturen enthält. Du bist auf 1.9 oder älter? Dann geht es ein letztes Mal per FTP, mit dem Archiv von der Seite Herunterladen und dem Leitfaden zum Update.
Wo liest du den vollständigen Auditbericht?
Der vollständige Bericht ist auf Englisch, im PDF-Format, auf 18 Seiten. Er beschreibt die Methode, die Sandbox, jede Schwachstelle mit ihrer Korrektur und die Grenzen der Prüfung. Er deckt auch das zweite Audit ab, durchgeführt an 1.10.3, und die darauf folgende Version 1.10.4: lies den Artikel zu Éclair 1.10.4.
Auditbericht herunterladen (PDF auf Englisch, 18 Seiten)
Der Bericht ist ehrlich, was seine Grenzen angeht: Er behauptet nicht, Éclair sei fehlerfrei. Die Schutzmaßnahmen erklärt auch die Sicherheit von Éclair, und alle Versionen stehen im Änderungsprotokoll.
Häufige Fragen zu Éclair 1.10.3
Wurde meine Website angegriffen?
Das Audit betrifft nicht deine Website: Es hat den Quellcode von Éclair untersucht, in einer Sandbox, mit Testdaten, und keine echte Website wurde abgetastet. Die gefundenen Schwachstellen sind in 1.10.3 behoben.
Soll ich Éclair 1.10.3 sofort installieren?
Ja, es ist ein Sicherheitsrelease. Erstelle ein Backup und öffne dann Adminbereich › Updates: Die neueste Version enthält diese Korrekturen. Arbeiten mehrere Konten an deiner Website, speichere vorher offene Änderungen.
Wo finde ich den Auditbericht, und in welcher Sprache ist er?
Der Bericht ist auf Englisch, ein PDF mit 18 Seiten. Du lädst ihn unter /assets/site/eclair-cms-security-report-2026-11.pdf herunter. Er enthält keine Details zur Ausnutzung.
Was muss ich bei Google Drive tun?
Hast du es vor 1.10.3 verbunden, weist die Seite Sicherheit darauf hin: Trenne die Verbindung und verbinde sie neu. Éclair hält dann fest, wer die Verbindung eingerichtet hat, und entfernt sie, wenn dieses Konto gelöscht wird oder seine Administratorrolle verliert.
Was kostet dieses Update?
Nichts: Éclair bleibt kostenlos, unter der freien Lizenz AGPL-3.0, und das Update nutzt keine KI. Das Archiv wiegt 619 KB, und deine öffentliche Website bleibt gleich.
Auch lesenswert
Von WordPress zu Éclair CMS migrieren, ohne eine Adresse zu verlieren
Von WordPress zu Éclair migrieren mit Eclair Export: Inhalte, Bilder, SEO, Menüs und Weiterleitungen, erst eine Simulation, dann ein Bericht für deinen Kunden.
Éclair 2.3 und Eclair Export 1.1: der einfache Umzug von WordPress
Éclair 2.3 und Eclair Export 1.1 ziehen eine WordPress-Website in einer Übertragung um: ein Schlüssel, ein Klick, ohne Download und FTP. Schemas und Anleitung.
Eine Website von A bis Z mit dem Éclair CMS KI-Agenten erstellen
Die komplette Anleitung für eine Profi-Website mit dem Éclair CMS KI-Agenten: jede Etappe, die beseitigten Hürden, Screenshots und der Download-Link.