---
title: "Éclair 1.10.3: erstes Sicherheitsaudit, 15 Schwachstellen behoben"
description: "Éclair 1.10.3 behebt die 15 Schwachstellen und 8 Hinweise eines vollständigen Code-Audits: Methode, Zahlen, was sich ändert, und der Bericht als PDF."
url: "https://eclaircms.org/blog/eclair-1-10-3-sicherheitsaudit"
lang: "de"
author: "Thierry Gustin"
published: "2026-11-03"
updated: "2026-11-10"
---

# Éclair 1.10.3: erstes Sicherheitsaudit, 15 Schwachstellen behoben

> **Das Wichtigste** — Die am 3. November 2026 erschienene Version 1.10.3 von Éclair ist ein Sicherheitsrelease. Ein vollständiges Audit des Codes von 1.10.2, durchgeführt mit Cloudflares Methode security-audit und 86 Agenten, hat 15 Schwachstellen bestätigt: 3 mittlere, 12 niedrige, keine kritische und keine hohe. Alle sind behoben, dazu 8 Hinweise, die vom Server oder vom Browser abhingen. Die automatischen Prüfungen steigen von 620 auf 918. Der vollständige Bericht, auf Englisch, steht als PDF bereit.

Éclair 1.10.3, erschienen am 3. November 2026, behebt alles, was das erste vollständige Sicherheitsaudit des Éclair-Codes gefunden hat: 15 bestätigte Schwachstellen, davon 3 mittlere, keine kritische und keine hohe, dazu 8 Hinweise, die vom Server oder vom Browser abhingen. Alles ist im Code behoben. Läuft deine Website mit 1.10, genügt für das Update ein Klick.

## Was ändert sich mit Éclair 1.10.3?

| Punkt | Was du wissen solltest |
| --- | --- |
| Audit Nr. 1 | Der gesamte Code von 1.10.2, geprüft von 86 Agenten, 50 Bereiche abgedeckt |
| Bestätigte Schwachstellen | 15: 3 mittlere, 12 niedrige, 0 hohe, 0 kritische |
| Zu validierende Hinweise | 8, abhängig vom Hosting oder vom Browser, alle im Code geschlossen |
| Härtungen | Mehr als 50 Empfehlungen des Audits umgesetzt |
| Automatische Prüfungen | Von 620 auf 918, dazu ein echtes Update von 1.10.2 auf 1.10.3, getestet über GitHub |
| Archiv | 619 KB (602 KB bei 1.10.2) |
| Deine öffentliche Website | Unverändert: Veröffentlichte Seiten bleiben Byte für Byte gleich |

Diese Korrekturen folgen direkt auf 1.10.2, die am Vortag erschienen ist und die ich dir weiter unten vorstelle. Der vollständige Auditbericht ist online: Er ist auf Englisch, im PDF-Format, und umfasst 18 Seiten.

## Wie wurde das Audit durchgeführt?

Das Audit folgt der öffentlichen [Methode *security-audit* von Cloudflare](https://github.com/cloudflare/security-audit-skill). Sie teilt die Software in abzudeckende Bereiche auf und schickt dann Wellen unabhängiger „Jäger“-Agenten los. Jeder gefundene Hinweis wird anschließend von anderen Agenten erneut geprüft, die ihn nicht entdeckt haben, bevor er in den Bericht kommt. Ein Hinweis endet als bestätigt, als zu validieren oder als verworfen.

Für 1.10.2 ergibt das:

- **86 Agenten**: 4 für die Erkundung, 22 Jäger in 5 Wellen, 6 Abdeckungskritiker und 54 Prüfer;
- **50 abgedeckte Bereiche**, dazu eine Schlussprüfung, die keine Lücke gefunden hat;
- **24 abschließende Einträge**: 15 bestätigte Schwachstellen, 8 zu validierende Hinweise, 1 verworfener Hinweis.

Alles geschah durch Lesen des Codes und lokale Tests, in einer vom Betriebssystem isolierten Sandbox: kein Netzwerkzugang, Testdaten und Testschlüssel, und keine echte Website wurde abgetastet. Deine Website diente also nie als Testfeld.

Das Audit kommt zu dem Schluss, dass der Code insgesamt defensiv ist: Kryptografie, Signatur der Updates, Bereinigung der Inhalte, Sitzungen und Formularschutz halten auf den meisten ihrer Wege.

## Welche Schwachstellen wurden behoben?

Zuerst die drei mittleren Schwachstellen:

- **Die Abmelde-Schaltflächen** „Meine anderen Geräte abmelden“ und „Alle abmelden“ erneuerten ungewollt die Passwortbestätigung. Das tun sie nicht mehr.
- **Reservierte Weiterleitungen**: Ein Redakteur kann die Adressen `/.well-known/` und Éclairs interne Adressen `/_eclair/` nicht mehr umleiten. Bestehende Weiterleitungen dort sind deaktiviert, und du kannst sie löschen. Ein Administrator kann weiterhin andere `/.well-known/`-Adressen umleiten, etwa `change-password`.
- **Eine Obergrenze für Inhalte**: Eine Website hält höchstens 3.000 Inhalte, die KI erstellt ab 500 keine Entwürfe mehr, und der Suchindex behält nur veröffentlichten Text, bis 16 MB. Deine bestehenden Inhalte bleiben immer bearbeitbar.

Die 12 niedrigen Schwachstellen betreffen vor allem abgeleitete Kopien und Grenzen, die ihr Versprechen nicht hielten. Ein gelöschtes Konto verschwindet jetzt aus dem Seiten-Cache. Ein Backup enthält nie den Tresor (API-Schlüssel, Google-Drive-Verbindung), auch nicht bei einer falsch geschriebenen Einstellung. Die Sendegrenzen des Kontaktformulars und des MCP-Konnektors sind jetzt strikt. Und die Update-Ankündigungen tragen eine signierte Seriennummer und ein Ablaufdatum.

Die 8 Hinweise hingen von einer Tatsache ab, die offline nicht zu beobachten ist, etwa dem Verhalten eines Hosters. Trotzdem sind alle im Code geschlossen. Der Bericht enthält keine Details zur Ausnutzung: Für jeden Punkt sagt er, was falsch war und wie es behoben wurde.

## Was ändert sich in deinem Adminbereich?

Die meisten Korrekturen sind unsichtbar. Einige ändern deine Handgriffe:

- **🔒 Zwei-Faktor-Authentifizierung**: Um das Handy zu wechseln, deaktivierst du die 2FA mit deinem aktuellen Passwort und aktivierst sie dann wieder. Das geht unter **Mein Profil**.
- **🔑 Gewohnte Geräte**: Nach dem Update wird jedes Gerät bei seiner nächsten erfolgreichen Anmeldung wieder „gewohnt“.
- **☁️ Google Drive**: Eine Verbindung von vor 1.10.3 wird markiert. Trenne sie und verbinde sie neu, damit Éclair festhält, wer sie eingerichtet hat.
- **🤖 MCP-Konnektor**: Eine andere App als Claude oder ChatGPT fragt immer nach deinem Passwort, und die Schaltfläche **Erlauben** wird nach einem kurzen Moment aktiv, sobald du die Maus bewegst oder den Bildschirm berührst.
- **✍️ Editor**: Die lokale Kopie deiner ungespeicherten Arbeit gehört dem angemeldeten Konto und wird beim Abmelden gelöscht.
- **💾 Kontaktformular**: Sind die 100 Nachrichten pro Tag für die ganze Website erreicht, lehnt es 24 Stunden lang alle ab.

Nutzt du Nginx, aktualisiere deine Regeln mit dem Leitfaden: `media/` liefert keine `.js`- oder `.mjs`-Dateien mehr aus.

## Was hat 1.10.2 am Vortag behoben?

Version 1.10.2, erschienen am 2. November 2026, löste zwei konkrete Probleme.

1. **Der Virenscanner von o2switch** blockierte das Archiv im Dateimanager. Es war ein Fehlalarm beim Code für das Update mit einem Klick. Die Dateioperationen liegen jetzt in einer kleinen eigenen Klasse, und ein Test prüft, dass keine ausgelieferte Datei die verdächtige Abfolge wiederholt. Deine Website merkt keinen Unterschied.
2. **Google Drive steht jeder Website offen.** Die Verbindung stützte sich auf ins Archiv eingebaute Google-Zugangsdaten, die nie eingerichtet wurden: Die Karte blieb geschlossen. Jede Website kann jetzt ihre eigene Google-App nutzen. **Sicherheit › Backups auf Google Drive** führt dich Schritt für Schritt (kostenlos, etwa zehn Minuten, einmalig), danach fügst du die Client-ID und den Clientschlüssel ein. Der Schlüssel wird auf deinem Server verschlüsselt.

## Wie wechselst du auf Éclair 1.10.3?

Ab 1.10.0 erledigst du das Update im Adminbereich:

1. Arbeiten mehrere Konten an deiner Website, **speichere offene Änderungen**: Ungespeicherte Kopien aus 1.10.2 bleiben nicht erhalten.
2. Erstelle ein Backup: **Backup herunterladen** oder ein Backup auf Google Drive.
3. Öffne **Adminbereich › Updates**, setze das Häkchen beim Backup und klicke auf **Aktualisieren**.

Das Update installiert die neueste verfügbare Version, die diese Korrekturen enthält. Du bist auf 1.9 oder älter? Dann geht es ein letztes Mal per FTP, mit dem Archiv von der Seite [Herunterladen](https://eclaircms.org/de/herunterladen) und dem [Leitfaden zum Update](https://eclaircms.org/de/dokumentation/updates).

## Wo liest du den vollständigen Auditbericht?

Der vollständige Bericht ist auf Englisch, im PDF-Format, auf 18 Seiten. Er beschreibt die Methode, die Sandbox, jede Schwachstelle mit ihrer Korrektur und die Grenzen der Prüfung. Er deckt auch das zweite Audit ab, durchgeführt an 1.10.3, und die darauf folgende Version 1.10.4: [lies den Artikel zu Éclair 1.10.4](https://eclaircms.org/blog/eclair-1-10-4-zweites-sicherheitsaudit).

[Auditbericht herunterladen (PDF auf Englisch, 18 Seiten)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf)

Der Bericht ist ehrlich, was seine Grenzen angeht: Er behauptet nicht, Éclair sei fehlerfrei. Die Schutzmaßnahmen erklärt auch [die Sicherheit von Éclair](https://eclaircms.org/de/dokumentation/sicherheit), und alle Versionen stehen im [Änderungsprotokoll](https://eclaircms.org/de/changelog).

## Häufige Fragen zu Éclair 1.10.3

### Wurde meine Website angegriffen?

Das Audit betrifft nicht deine Website: Es hat den Quellcode von Éclair untersucht, in einer Sandbox, mit Testdaten, und keine echte Website wurde abgetastet. Die gefundenen Schwachstellen sind in 1.10.3 behoben.

### Soll ich Éclair 1.10.3 sofort installieren?

Ja, es ist ein Sicherheitsrelease. Erstelle ein Backup und öffne dann Adminbereich › Updates: Die neueste Version enthält diese Korrekturen. Arbeiten mehrere Konten an deiner Website, speichere vorher offene Änderungen.

### Wo finde ich den Auditbericht, und in welcher Sprache ist er?

Der Bericht ist auf Englisch, ein PDF mit 18 Seiten. Du lädst ihn unter [/assets/site/eclair-cms-security-report-2026-11.pdf](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf) herunter. Er enthält keine Details zur Ausnutzung.

### Was muss ich bei Google Drive tun?

Hast du es vor 1.10.3 verbunden, weist die Seite Sicherheit darauf hin: Trenne die Verbindung und verbinde sie neu. Éclair hält dann fest, wer die Verbindung eingerichtet hat, und entfernt sie, wenn dieses Konto gelöscht wird oder seine Administratorrolle verliert.

### Was kostet dieses Update?

Nichts: Éclair bleibt kostenlos, unter der freien Lizenz AGPL-3.0, und das Update nutzt keine KI. Das Archiv wiegt 619 KB, und deine öffentliche Website bleibt gleich.

[Éclair 2.3.0 herunterladen](https://eclaircms.org/de/herunterladen)

— Thierry Gustin, Créateur d’Éclair CMS, consultant SEO et formateur IA · 10. November 2026