Tassos/Novarain Framework : faille critique CVSS 9.5

En bref

De quoi s’agit-il ?

Le Tassos Framework – autrefois connu sous le nom de Novarain Framework – fonctionne comme plugin système (plg_system_nrframework) et constitue le socle commun de plusieurs extensions très répandues. Via com_ajax, des requêtes AJAX étaient possibles sans authentification, ce qui permettait notamment d’accéder à des fichiers, de les supprimer et d’accéder à la base de données.

La faille (CVE-2026-21627) est classée critique avec un score CVSS de 9.5 sur 10 ; un outil d’exploitation public est disponible. Les versions 4.10.14 à 6.0.37 du framework sont vulnérables.

Sont notamment concernées les extensions suivantes : Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack et MailChimp Auto-Subscribe. Comme elles reposent toutes sur le même framework, il suffit d’en mettre une à jour : le framework est actualisé en même temps.

Versions minimales sûres par extension

Après la mise à jour de l’une de ces extensions, le Tassos Framework doit afficher la version 6.0.62 ou supérieure.

Mon site est-il concerné ? – Comment le vérifier

1. Ouvrir l’administration

   Connectez-vous à l’administration de votre site Joomla.

2. Repérer le framework

   Ouvrez Système›Plugins et recherchez Tassos Framework. Vous pouvez aussi vérifier directement les fichiers /plugins/system/nrframework/nrframework.php et nrframework.xml.

3. Évaluer la version

   Si la version du framework se situe entre 4.10.14 et 6.0.37, le site est vulnérable. La version 6.0.62 ou supérieure est sûre.

Comment corriger la faille

1. Ouvrir le gestionnaire de mises à jour

   Allez dans Système›Mise à jour›Extensions et cliquez sur Rechercher les mises à jour.

2. Mettre à jour une extension Tassos

   Mettez à jour n’importe quelle extension Tassos installée (voir le tableau) vers la version minimale indiquée. Le framework est mis à jour en même temps.

3. Vérifier le framework

   Vérifiez dans Système›Plugins que « Tassos Framework » affiche désormais la version 6.0.62 ou supérieure.

Source officielle : via Tassos account. Assurez-vous d’avoir au minimum la version Tassos Framework 6.0.62 ou supérieur.

Le site a-t-il déjà été piraté ?

Besoin d’aide pour le nettoyage ? Vous trouverez des spécialistes qualifiés dans l’annuaire des prestataires Joomla.

Sources & liens utiles

• Analyse détaillée – Website-Bereinigung.deExtensions concernées, versions, nettoyage
• CVE-2026-21627 (CVE.org)Fiche CVE officielle
• Tassos (éditeur)Téléchargement des mises à jour

Les informations officielles de l’éditeur concerné font toujours foi. Cette page résume de manière neutre des informations accessibles publiquement.

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de