Tassos/Novarain: kritikus biztonsági rés – CVSS 9.5/10
Biztonságos verzió: Tassos Framework 6.0.62 vagy újabb · via Tassos account
A lényeg röviden
plg_system_nrframeworkcom_ajax-on keresztül hitelesítés nélkül indítható AJAX-hívások fájl- és adatbázis-hozzáférést tesznek lehetővé; nyilvánosan elérhető exploit eszköz létezik hozzáMiről van szó?
A Tassos Framework – korábbi nevén Novarain Framework – rendszer típusú beépülő modulként fut (plg_system_nrframework), és több népszerű bővítmény közös alapját adja. A com_ajax-on keresztül hitelesítés nélkül is lehetett AJAX-kéréseket indítani, amelyek egyebek mellett fájlok elérését, fájlok törlését és adatbázis-hozzáférést tettek lehetővé.
A biztonsági rés (CVE-2026-21627) kritikus besorolású: CVSS-értéke 9.5 a 10-ből; nyilvánosan elérhető exploit eszköz létezik hozzá. Sebezhetők a keretrendszer 4.10.14 és 6.0.37 közötti verziói.
Elsősorban a következő bővítmények érintettek: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack és MailChimp Auto-Subscribe. Mivel mindegyik ugyanarra a keretrendszerre épül, elegendő közülük egyet frissíteni – a keretrendszer ezzel együtt frissül.
Biztonságos minimumverziók bővítményenként
| Bővítmény | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
A felsorolt bővítmények bármelyikének frissítése után a Tassos Framework verziószámaként 6.0.62 vagy újabb értéknek kell megjelennie.
Érintett az oldalam? – Így ellenőrizhető
- Belépés az adminisztrációba
Jelentkezzen be a Joomla adminisztrációs felületére.
- A keretrendszer megkeresése
Nyissa meg a Rendszer›Beépülő modulok menüpontot, és keressen rá a következőre:
Tassos Framework. Másik lehetőségként ellenőrizheti a/plugins/system/nrframework/nrframework.phpésnrframework.xmlfájlokat. - A verziószám kiértékelése
Ha a keretrendszer verziója 4.10.14 és 6.0.37 közé esik, a weboldal sebezhető. Biztonságos a 6.0.62 vagy újabb verzió.
Így szüntethető meg a biztonsági rés
- A frissítéskezelő megnyitása
Lépjen a Rendszer›Frissítés›Bővítmények menüpontra, majd kattintson a Frissítések keresése gombra.
- Egy Tassos-bővítmény frissítése
Frissítse a telepített Tassos-bővítmények bármelyikét (lásd a táblázatot) a megadott minimumverzióra. A keretrendszer ezzel együtt frissül.
- A keretrendszer ellenőrzése
Ellenőrizze a Rendszer›Beépülő modulok menüpontban, hogy a „Tassos Framework” már 6.0.62 vagy újabb verziót mutat-e.
Hivatalos letöltési forrás: via Tassos account. A telepített verzió legyen legalább Tassos Framework 6.0.62 vagy újabb.
Feltörték már a weboldalt?
Segítségre van szüksége a kártékony kód eltávolításához? Megfelelő szakembereket a Joomla szolgáltatói jegyzékében talál.
Források & további hivatkozások
- Részletes elemzés – Website-Bereinigung.deÉrintett bővítmények, verziók, a weboldal megtisztítása
- CVE-2026-21627 (CVE.org)Hivatalos CVE-bejegyzés
- Tassos (gyártó)Innen tölthetők le a frissítések
Minden esetben az adott fejlesztő hivatalos közlése az irányadó. Ez az oldal semlegesen foglalja össze a nyilvánosan elérhető információkat.
Hasonló biztonsági rések
Más bővítmények hasonló jellegű sebezhetőségekkel. Ellenőrizze, hogy telepítve van-e valamelyik az Ön weboldalán.
Az oldal támogatói
A htprotect.org ingyenes, gyártófüggetlen információs szolgáltatás. Működését a következők támogatják:
Németországi Joomla-tárhelyszolgáltató aktív közösségi támogatással – a JCE biztonsági rését kihasználó első támadás felfedezője.
fc-hosting.de
Joomla- és WordPress-weboldalak kártékony kódtól való megtisztítására, karbantartására és védelmére szakosodott szolgáltató.
website-bereinigung.deA projekt támogatása
Tárhely- vagy Joomla-szolgáltatást nyújt, és szeretné támogatni a htprotect.org működését – egyúttal támogatóként itt is megjelenni? Minden hozzájárulás segít abban, hogy az érintettek gyorsabban értesüljenek a veszélyről, és gyorsabban védekezhessenek.
Inkább csendben, említés nélkül támogatna? Egy kisebb hozzájárulásnak a kávékasszába ugyanúgy örülünk.
Építési táblák, építési kerítések és homlokzati megoldások gyártása és szerelése – tervezéssel és 3D-s látványtervezéssel együtt.
bauschildundservice.deProfesszionális IT-támogatás Csehországból – Windows-rendszerek kezelése, tartomány-adminisztráció és webtárhely-szolgáltatás.
defendersoft.cz
Németországi utazási portál – utazási csomagok, szállodák és repülőjegyek online, személyes utazásirodai tanácsadással.
onlineweg.de
Kreatívügynökség Brandenburgból – webdesign, nyomtatott médiumok, fotózás és 360°-os panorámaképek egy kézből.
criadero.deIT-szolgáltató Wächtersbachból – Joomla-weboldalak, PC-szerviz, hardver és szoftver.
jahnedv.de
Információbiztonsági tanácsadás Berlinből – biztonsági elemzések, kockázatkezelés és ISO 27001 kis- és középvállalkozásoknak.
isari-consult.de