Tassos/Novarain: kritikus biztonsági rés – CVSS 9.5/10
Biztonságos verzió: Tassos Framework 6.0.62 vagy újabb · via Tassos account
A lényeg röviden
plg_system_nrframeworkcom_ajax-on keresztül hitelesítés nélkül indítható AJAX-hívások fájl- és adatbázis-hozzáférést tesznek lehetővé; nyilvánosan elérhető exploit eszköz létezik hozzáMiről van szó?
A Tassos Framework – korábbi nevén Novarain Framework – rendszer típusú beépülő modulként fut (plg_system_nrframework), és több népszerű bővítmény közös alapját adja. A com_ajax-on keresztül hitelesítés nélkül is lehetett AJAX-kéréseket indítani, amelyek egyebek mellett fájlok elérését, fájlok törlését és adatbázis-hozzáférést tettek lehetővé.
A biztonsági rés (CVE-2026-21627) kritikus besorolású: CVSS-értéke 9.5 a 10-ből; nyilvánosan elérhető exploit eszköz létezik hozzá. Sebezhetők a keretrendszer 4.10.14 és 6.0.37 közötti verziói.
Elsősorban a következő bővítmények érintettek: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack és MailChimp Auto-Subscribe. Mivel mindegyik ugyanarra a keretrendszerre épül, elegendő közülük egyet frissíteni – a keretrendszer ezzel együtt frissül.
Biztonságos minimumverziók bővítményenként
| Bővítmény | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
A felsorolt bővítmények bármelyikének frissítése után a Tassos Framework verziószámaként 6.0.62 vagy újabb értéknek kell megjelennie.
Érintett az oldalam? – Így ellenőrizhető
- Belépés az adminisztrációba
Jelentkezzen be a Joomla adminisztrációs felületére.
- A keretrendszer megkeresése
Nyissa meg a Rendszer›Beépülő modulok menüpontot, és keressen rá a következőre:
Tassos Framework. Másik lehetőségként ellenőrizheti a/plugins/system/nrframework/nrframework.phpésnrframework.xmlfájlokat. - A verziószám kiértékelése
Ha a keretrendszer verziója 4.10.14 és 6.0.37 közé esik, a weboldal sebezhető. Biztonságos a 6.0.62 vagy újabb verzió.
Így szüntethető meg a biztonsági rés
- A frissítéskezelő megnyitása
Lépjen a Rendszer›Frissítés›Bővítmények menüpontra, majd kattintson a Frissítések keresése gombra.
- Egy Tassos-bővítmény frissítése
Frissítse a telepített Tassos-bővítmények bármelyikét (lásd a táblázatot) a megadott minimumverzióra. A keretrendszer ezzel együtt frissül.
- A keretrendszer ellenőrzése
Ellenőrizze a Rendszer›Beépülő modulok menüpontban, hogy a „Tassos Framework” már 6.0.62 vagy újabb verziót mutat-e.
Hivatalos letöltési forrás: via Tassos account. A telepített verzió legyen legalább Tassos Framework 6.0.62 vagy újabb.
Feltörték már a weboldalt?
Segítségre van szüksége a kártékony kód eltávolításához? Megfelelő szakembereket a Joomla szolgáltatói jegyzékében talál.
Források & további hivatkozások
- Részletes elemzés – Website-Bereinigung.deÉrintett bővítmények, verziók, a weboldal megtisztítása
- CVE-2026-21627 (CVE.org)Hivatalos CVE-bejegyzés
- Tassos (gyártó)Innen tölthetők le a frissítések
Minden esetben az adott fejlesztő hivatalos közlése az irányadó. Ez az oldal semlegesen foglalja össze a nyilvánosan elérhető információkat.
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de