Tassos/Novarain Framework: vulnerabilidad crítica CVSS 9.5

De un vistazo

¿De qué se trata?

Tassos Framework – antes conocido como Novarain Framework – se ejecuta como plugin de sistema (plg_system_nrframework) y constituye la base común de varias extensiones populares. A través de com_ajax era posible lanzar peticiones AJAX sin autenticación, lo que permitía, entre otras cosas, acceder a archivos, borrarlos y acceder a la base de datos.

La vulnerabilidad (CVE-2026-21627) se clasifica como crítica, con una puntuación CVSS de 9.5 sobre 10; existe una herramienta de exploit pública. Son vulnerables las versiones del framework de la 4.10.14 a la 6.0.37.

Las extensiones afectadas son, en concreto, estas: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack y MailChimp Auto-Subscribe. Como todas comparten la misma base, basta con actualizar una de ellas: el framework se actualiza junto con la extensión.

Versiones mínimas seguras por extensión

Después de actualizar una de estas extensiones, Tassos Framework debe mostrar la versión 6.0.62 o superior.

¿Me afecta? – Cómo comprobarlo

1. Abre el back-end

   Inicia sesión en el administrador de Joomla.

2. Comprueba el framework

   Abre Sistema›Plugins y busca Tassos Framework. También puedes revisar los archivos /plugins/system/nrframework/nrframework.php y nrframework.xml.

3. Evalúa la versión

   Si la versión del framework está entre la 4.10.14 y la 6.0.37, tu web es vulnerable. Es segura la 6.0.62 o superior.

Cómo solucionar la vulnerabilidad

1. Abre el gestor de actualizaciones

   Ve a Sistema›Actualizar›Extensiones y haz clic en Buscar actualizaciones.

2. Actualiza una extensión de Tassos

   Actualiza cualquier extensión de Tassos que tengas instalada (consulta la tabla) a la versión mínima indicada. El framework se actualiza junto con ella.

3. Verifica el framework

   Comprueba en Sistema›Plugins que «Tassos Framework» muestra ya la 6.0.62 o superior.

Descarga oficial: via Tassos account. Asegúrate de tener al menos Tassos Framework 6.0.62 o superior.

¿Han atacado ya tu web?

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

• Análisis detallado – Website-Bereinigung.deExtensiones afectadas, versiones y limpieza
• CVE-2026-21627 (CVE.org)Registro oficial del CVE
• Tassos (desarrollador)Descarga de las actualizaciones

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de