HTProtect.org
Uafhængig informationsside om sikkerhedssårbarheder i Joomla
DA
HTProtect HTProtect JOOMLA SECURITY
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
htprotect.org Sikkerhedssårbarheder & opdateringsguider
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
Sikkerhedssårbarhed

Tassos Framework: kritisk sikkerhedssårbarhed, CVSS 9.5

KritiskCVSS 9.5 / 10Offentlig exploit tilgængeligCVE-2026-21627
Handl nu
Opdater en vilkårlig Tassos-udvidelse – så løftes frameworket automatisk til 6.0.62+.
Hent den sikre version Gå til opdateringstrinnene

Sikker version: Tassos Framework 6.0.62 eller nyere · via Tassos account

Kort fortalt

Berørt udvidelse
Tassos Framework (tidligere Novarain) – systemplugin plg_system_nrframework
Udvikler
Tassos Marinos (tassos.gr)
Sårbarhedstype
AJAX-kald uden autentificering via com_ajax giver adgang til filer og database; et offentligt exploit-værktøj er tilgængeligt
Berørte versioner
Framework-versionerne 4.10.14 til 6.0.37
Sikker version
Tassos Framework 6.0.62 eller nyere   Hent
Alvorlighedsgrad
Kritisk · CVSS 9.5 / 10
CVE
CVE-2026-21627
Joomla-kompatibilitet
Joomla 3 / 4 / 5 / 6
Status / offentliggjort
Opdateret: 4. april 2026

Hvad handler det om?

Tassos Framework – tidligere kendt som Novarain Framework – kører som systemplugin (plg_system_nrframework) og udgør det fælles grundlag for flere populære udvidelser. Via com_ajax kunne AJAX-forespørgsler sendes uden autentificering, og det gav blandt andet adgang til filer og database samt mulighed for at slette filer.

Sårbarheden (CVE-2026-21627) er vurderet som kritisk med en CVSS-score på 9.5 ud af 10, og der findes et offentligt exploit-værktøj. Sårbare er framework-versionerne 4.10.14 til 6.0.37.

Især følgende udvidelser er berørt: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack og MailChimp Auto-Subscribe. Da de alle bygger på det samme framework, er det nok at opdatere én af dem – frameworket følger med i opdateringen.

Sikre minimumsversioner pr. udvidelse

UdvidelseJoomla 4 / 5 / 6Joomla 3
Convert Forms5.1.14.4.11
EngageBox7.1.16.3.9
Google Structured Data6.1.15.6.9
Advanced Custom Fields3.1.12.8.10
Smile Pack2.1.11.2.4
MailChimp Auto-Subscribe5.1.15.0.4

Når du har opdateret en af disse udvidelser, skal Tassos Framework vise 6.0.62 eller nyere.

Er jeg berørt? – Sådan tjekker du det

  1. Åbn backend

    Log ind i Joomla-administrationen.

  2. Tjek frameworket

    Åbn System›Plugins, og søg efter Tassos Framework. Alternativt kan du se i filerne /plugins/system/nrframework/nrframework.php og nrframework.xml.

  3. Vurder versionen

    Ligger framework-versionen mellem 4.10.14 og 6.0.37, er hjemmesiden sårbar. Sikker version er 6.0.62 eller nyere.

Sådan lukker du sårbarheden

Før hver opdatering: tag en backup
Tag en backup af filer og database, før du opdaterer – så kan du rulle tilbage, hvis noget går galt (f.eks. med Akeeba Backup eller via dit webhotel).
  1. Åbn opdateringscentret

    Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.

  2. Opdater én Tassos-udvidelse

    Opdater en vilkårlig installeret Tassos-udvidelse (se tabellen) til den angivne minimumsversion. Frameworket følger med i opdateringen.

  3. Verificer frameworket

    Tjek under System›Plugins, at »Tassos Framework« nu viser 6.0.62 eller nyere.

Hent den sikre version

Officiel kilde: via Tassos account. Sørg for at have mindst Tassos Framework 6.0.62 eller nyere.

Er hjemmesiden allerede blevet hacket?

Frameworket bliver ofte liggende aktivt, uden at du opdager det
Det kører i baggrunden og kan blive liggende, selv efter at du har afinstalleret en udvidelse (det bliver ikke fjernet automatisk). Angreb kan gennemføres uden login. Har du mistanke om, at hjemmesiden er hacket, bør du desuden tjekke for bagdøre, mistænkelige administratorkonti og manipulerede filer.

Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.

Kilder & mere information

Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.

Lignende sårbarheder

Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.

Helix3 FrameworkKritiskudnyttes aktivt
JoomShaperLæs mere
Astroid FrameworkKritiskudnyttes aktivt
TemPlazaLæs mere
JCE EditorKritiskudnyttes aktivt
JoomlaContentEditorLæs mere
Tilbage til alle sikkerhedssårbarheder
Støtter

Støtter af denne side

htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:

Hostingudbyder & community
FC-Hosting

Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.

fc-hosting.de
Initiativtager & drift
Website-Bereinigung.de

Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.

website-bereinigung.de

Støt dette projekt

Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.

Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.

Støt HTProtect nu
Bauschild & Service

Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.

bauschildundservice.de
IT Specialista

Professionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.

defendersoft.cz
onlineweg.de

Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.

onlineweg.de
Criadero

Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.

criadero.de
Jahn EDV-Dienst GmbH

It-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.

jahnedv.de
IsariConsult

Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.

isari-consult.de