Tassos/Novarain Framework: vulnerabilitat crítica CVSS 9.5
Versió segura: Tassos Framework 6.0.62 o superior · via Tassos account
D'un cop d'ull
plg_system_nrframeworkcom_ajax que permeten accedir a fitxers i a la base de dades; hi ha una eina d'exploit públicaDe què es tracta?
El Tassos Framework – abans conegut com a Novarain Framework – s'executa com a connector de sistema (plg_system_nrframework) i és la base comuna de diverses extensions populars. A través de com_ajax es podien fer peticions AJAX sense autenticació que permetien, entre altres coses, accedir a fitxers, esborrar-los i accedir a la base de dades.
La vulnerabilitat (CVE-2026-21627) es classifica com a crítica, amb una puntuació CVSS de 9.5 sobre 10; hi ha una eina d'exploit pública. Són vulnerables les versions del framework de la 4.10.14 a la 6.0.37.
Les extensions afectades són, en concret, aquestes: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack i MailChimp Auto-Subscribe. Com que totes comparteixen la mateixa base, només cal actualitzar-ne una: el framework s'actualitza juntament amb l'extensió.
Versions mínimes segures per extensió
| Extensió | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
Després d'actualitzar una d'aquestes extensions, el Tassos Framework ha de mostrar la versió 6.0.62 o superior.
M'afecta a mi? – Com comprovar-ho
- Obre el back-end
Inicia la sessió a l'administrador de Joomla.
- Comprova el framework
Obre Sistema›Connectors i cerca
Tassos Framework. També pots revisar els fitxers/plugins/system/nrframework/nrframework.phpinrframework.xml. - Avalua la versió
Si la versió del framework es troba entre la 4.10.14 i la 6.0.37, el teu lloc web és vulnerable. És segura la 6.0.62 o superior.
Com solucionar la vulnerabilitat
- Obre el gestor d'actualitzacions
Ves a Sistema›Actualitza›Extensions i fes clic a Comprova si hi ha actualitzacions.
- Actualitza una extensió de Tassos
Actualitza qualsevol extensió de Tassos que tinguis instal·lada (consulta la taula) a la versió mínima indicada. El framework s'actualitza juntament amb ella.
- Verifica el framework
Comprova a Sistema›Connectors que «Tassos Framework» ja mostra la 6.0.62 o superior.
Descàrrega oficial: via Tassos account. Assegura't de tenir com a mínim Tassos Framework 6.0.62 o superior.
Ja han atacat el teu lloc web?
Necessites ajuda amb la neteja? Trobaràs professionals qualificats al Directori de proveïdors de serveis de Joomla.
Fonts & més informació
- Anàlisi detallada – Website-Bereinigung.deExtensions afectades, versions i neteja
- CVE-2026-21627 (CVE.org)Registre oficial del CVE
- Tassos (desenvolupador)Descàrrega de les actualitzacions
Sempre preval la informació oficial de cada desenvolupador. Aquesta pàgina resumeix de manera neutral informació disponible públicament.
Vulnerabilitats similars
Altres extensions amb vulnerabilitats semblants. Comprova si en tens alguna instal·lada al teu lloc web.
Col·laboradors d'aquest lloc web
htprotect.org és un servei d'informació gratuït i independent de qualsevol desenvolupador. Compta amb el suport de:
Proveïdor d'allotjament Joomla d'Alemanya amb suport actiu a la comunitat – va detectar el primer atac contra la vulnerabilitat de JCE.
fc-hosting.de
Especialitzada en la neteja, el manteniment i la protecció de llocs web Joomla i WordPress.
website-bereinigung.deDona suport a aquest projecte
Ofereixes serveis d'allotjament o de Joomla i vols donar suport a htprotect.org – i aparèixer aquí com a col·laborador? Cada aportació ajuda a avisar i a protegir més de pressa els afectats.
Prefereixes col·laborar en privat, sense aparèixer a la llista? Una petita aportació a la guardiola del cafè ens fa la mateixa il·lusió.
Fabricació i muntatge de cartells d'obra, tanques d'obra i solucions de façana – amb disseny i visualització en 3D inclosos.
bauschildundservice.deSuport informàtic professional des de Txèquia – gestió de Windows, administració de dominis i allotjament web.
defendersoft.cz
Portal de viatges d'Alemanya – viatges combinats, hotels i vols en línia, amb assessorament personal d'agència de viatges.
onlineweg.de
Agència creativa de Brandenburg – disseny web, mitjans impresos, fotografia i panoràmiques de 360° d'un sol proveïdor.
criadero.deProveïdor de serveis informàtics de Wächtersbach – llocs web Joomla, servei tècnic de PC, maquinari i programari.
jahnedv.de
Consultoria de seguretat de la informació de Berlín – anàlisis de seguretat, gestió de riscos i ISO 27001 per a pimes.
isari-consult.de