Tassos/Novarain Framework: kriittinen tietoturva-aukko

Yhdellä silmäyksellä

Mistä on kyse?

Tassos Framework – aiemmin nimeltään Novarain Framework – toimii järjestelmäliitännäisenä (plg_system_nrframework) ja muodostaa useiden suosittujen laajennusten yhteisen perustan. AJAX-pyynnöt onnistuivat com_ajax-komponentin kautta ilman tunnistautumista, mikä mahdollisti muun muassa pääsyn tiedostoihin ja tietokantaan sekä tiedostojen poistamisen.

Tietoturva-aukko (CVE-2026-21627) on luokiteltu kriittiseksi CVSS-arvolla 9.5/10; siihen on saatavilla julkinen exploit-työkalu. Haavoittuvia ovat framework-versiot 4.10.14–6.0.37.

Alttiita ovat erityisesti seuraavat laajennukset: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack ja MailChimp Auto-Subscribe. Koska ne kaikki nojaavat samaan frameworkiin, riittää, että päivität niistä yhden – framework päivittyy samalla.

Turvalliset vähimmäisversiot laajennuksittain

Kun olet päivittänyt jonkin näistä laajennuksista, Tassos Frameworkin version on oltava 6.0.62 tai uudempi.

Koskeeko tämä minua? – Näin tarkistat

1. Avaa ylläpito

   Kirjaudu sisään Joomlan ylläpitoon.

2. Tarkista framework

   Avaa Järjestelmä›Liitännäiset ja hae hakusanalla Tassos Framework. Vaihtoehtoisesti tarkista tiedostot /plugins/system/nrframework/nrframework.php ja nrframework.xml.

3. Arvioi versio

   Jos framework-versio on välillä 4.10.14–6.0.37, sivusto on haavoittuva. Turvallinen versio on 6.0.62 tai uudempi.

Näin tukit aukon

1. Avaa päivityskeskus

   Siirry kohtaan Järjestelmä›Päivitä›Laajennukset ja napsauta Tarkista päivitykset.

2. Päivitä yksi Tassos-laajennus

   Päivitä mikä tahansa asennettu Tassos-laajennus (ks. taulukko) vähintään ilmoitettuun versioon. Framework päivittyy samalla.

3. Varmista frameworkin versio

   Tarkista kohdasta Järjestelmä›Liitännäiset, että ”Tassos Framework” -liitännäisen versio on nyt 6.0.62 tai uudempi.

Virallinen lähde: via Tassos account. Varmista, että käytössä on vähintään Tassos Framework 6.0.62 tai uudempi.

Onko sivustolle jo hyökätty?

Tarvitsetko apua sivuston puhdistamiseen? Löydät osaavat ammattilaiset Joomlan palveluntarjoajahakemistosta.

Lähteet & lisälukemista

• Yksityiskohtainen analyysi – Website-Bereinigung.deAlttiit laajennukset, versiot ja puhdistus
• CVE-2026-21627 (CVE.org)Virallinen CVE-tietue
• Tassos (valmistaja)Täältä saat päivitykset

Ensisijaisia ovat aina kunkin valmistajan viralliset tiedot. Tämä sivu kokoaa julkisesti saatavilla olevat tiedot puolueettomasti yhteen.

Samankaltaiset tietoturva-aukot

Muita laajennuksia, joissa on vastaavia haavoittuvuuksia. Tarkista, onko jokin niistä asennettuna sivustollesi.

Tämän sivuston tukijat

htprotect.org on maksuton ja valmistajariippumaton tietopalvelu. Sitä tukevat:

Webhotelli & yhteisö

FC-Hosting

Saksalainen Joomla-webhotelli, jolla on aktiivinen yhteisötuki – havaitsi ensimmäisen JCE-tietoturva-aukkoon kohdistuneen hyökkäyksen.

fc-hosting.de

Aloitteentekijä & ylläpitäjä

Website-Bereinigung.de

Erikoistunut Joomla- ja WordPress-sivustojen puhdistamiseen, ylläpitoon ja suojaamiseen.

website-bereinigung.de

Bauschild & Service

Työmaakylttien, työmaa-aitojen ja julkisivuratkaisujen valmistus ja asennus – mukaan lukien suunnittelu ja 3D-visualisointi.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Ammattimainen IT-tuki Tšekistä – Windows-hallinta, toimialueiden ylläpito ja webhotellipalvelut.

defendersoft.cz

onlineweg.de

Matkailuportaali Saksasta – valmismatkat, hotellit ja lennot verkossa sekä henkilökohtainen matkatoimistoneuvonta.

onlineweg.de

Criadero

Luova toimisto Brandenburgista – verkkosivujen suunnittelu, painotuotteet, valokuvaus ja 360°-panoraamat samalta toimittajalta.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT-palveluntarjoaja Wächtersbachista – Joomla-verkkosivustot, PC-huolto, laitteet ja ohjelmistot.

jahnedv.de

IsariConsult

Tietoturvakonsultointi Berliinistä – tietoturva-analyysit, riskienhallinta ja ISO 27001 pk-yrityksille.

isari-consult.de