HTProtect.org
Situs informasi independen tentang celah keamanan Joomla
ID
HTProtect HTProtect JOOMLA SECURITY
Baru htprotect.app - Manajemen Terpusat untuk Banyak Situs Joomla
htprotect.org Celah keamanan & panduan pembaruan
Baru htprotect.app - Manajemen Terpusat untuk Banyak Situs Joomla
Celah keamanan

Tassos/Novarain Framework: celah keamanan kritis, CVSS 9.5

KritisCVSS 9.5 / 10Eksploit publik tersediaCVE-2026-21627
Segera bertindak
Perbarui satu ekstensi Tassos mana pun – framework otomatis ikut diperbarui ke 6.0.62+.
Unduh versi aman Lihat langkah pembaruan

Versi aman: Tassos Framework 6.0.62 atau lebih baru · via Tassos account

Sekilas info

Ekstensi terdampak
Tassos Framework (dulu Novarain) – plugin sistem plg_system_nrframework
Pengembang
Tassos Marinos (tassos.gr)
Jenis celah
Panggilan AJAX tanpa autentikasi melalui com_ajax membuka akses ke file dan database; alat eksploitasi publik sudah beredar
Versi terdampak
Versi framework 4.10.14 hingga 6.0.37
Versi aman
Tassos Framework 6.0.62 atau lebih baru   Unduh
Tingkat keparahan
Kritis · CVSS 9.5 / 10
CVE
CVE-2026-21627
Kompatibilitas Joomla
Joomla 3 / 4 / 5 / 6
Status / tanggal publikasi
Per 4 April 2026

Apa masalahnya?

Tassos Framework – dulu dikenal sebagai Novarain Framework – berjalan sebagai plugin sistem (plg_system_nrframework) dan menjadi fondasi bersama bagi sejumlah ekstensi populer. Melalui com_ajax, permintaan AJAX dapat dikirim tanpa autentikasi sehingga antara lain memungkinkan pembacaan file, penghapusan file, dan akses ke database.

Celah keamanan ini (CVE-2026-21627) tergolong kritis dengan nilai CVSS 9.5 dari 10; alat eksploitasi publik sudah tersedia. Versi framework yang rentan adalah 4.10.14 hingga 6.0.37.

Ekstensi yang terutama terdampak adalah Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack dan MailChimp Auto-Subscribe. Karena semuanya memakai fondasi framework yang sama, cukup perbarui salah satu di antaranya – framework akan ikut diperbarui.

Versi minimum yang aman untuk setiap ekstensi

EkstensiJoomla 4 / 5 / 6Joomla 3
Convert Forms5.1.14.4.11
EngageBox7.1.16.3.9
Google Structured Data6.1.15.6.9
Advanced Custom Fields3.1.12.8.10
Smile Pack2.1.11.2.4
MailChimp Auto-Subscribe5.1.15.0.4

Setelah salah satu ekstensi ini diperbarui, Tassos Framework harus menampilkan versi 6.0.62 atau lebih baru.

Apakah situs Anda terdampak? – Begini cara memeriksanya

  1. Buka backend

    Masuk ke area administrator Joomla.

  2. Periksa framework

    Buka Sistem›Plugin lalu cari Tassos Framework. Sebagai alternatif, periksa file /plugins/system/nrframework/nrframework.php dan nrframework.xml.

  3. Nilai versi yang terpasang

    Jika versi framework berada di antara 4.10.14 dan 6.0.37, situs Anda rentan. Versi yang aman adalah 6.0.62 atau lebih baru.

Cara menutup celah keamanan ini

Sebelum setiap pembaruan: buat backup
Buat backup file dan database sebelum memperbarui – agar Anda dapat kembali ke kondisi semula jika terjadi masalah (misalnya dengan Akeeba Backup atau lewat penyedia hosting Anda).
  1. Buka pusat pembaruan

    Buka Sistem›Pembaruan›Ekstensi lalu klik Periksa Pembaruan.

  2. Perbarui satu ekstensi Tassos

    Perbarui ekstensi Tassos mana pun yang terpasang (lihat tabel) ke versi minimum yang tercantum. Framework akan ikut diperbarui.

  3. Verifikasi framework

    Pastikan di Sistem›Plugin bahwa “Tassos Framework” kini menampilkan versi 6.0.62 atau lebih baru.

Unduh versi aman

Sumber unduhan resmi: via Tassos account. Pastikan Anda menggunakan minimal versi Tassos Framework 6.0.62 atau lebih baru.

Apakah situs Anda sudah diserang?

Framework sering tetap aktif tanpa disadari
Plugin ini berjalan di latar belakang dan bisa tetap tertinggal meski ekstensi terkait sudah dihapus (tidak terhapus otomatis). Serangan dapat dilakukan tanpa login. Jika Anda menduga situs sudah diretas, periksa juga: backdoor, akun administrator mencurigakan, dan file yang dimanipulasi.

Butuh bantuan membersihkan situs Anda? Temukan tenaga ahli yang kompeten di Direktori Penyedia Layanan Joomla.

Sumber & bacaan lanjutan

Informasi resmi dari masing-masing pengembang selalu menjadi acuan utama. Halaman ini merangkum informasi yang tersedia untuk umum secara netral.

Kembali ke daftar celah keamanan
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de