Tassos Framework Joomla: vulnerabilità critica CVSS 9.5
Versione sicura: Tassos Framework 6.0.62 o successiva · via Tassos account
In sintesi
plg_system_nrframeworkcom_ajax che consentono l'accesso ai file e al database; esiste uno strumento di exploit pubblicoDi cosa si tratta?
Il Tassos Framework – un tempo noto come Novarain Framework – funziona come plugin di sistema (plg_system_nrframework) e costituisce la base comune di diverse estensioni molto diffuse. Tramite com_ajax era possibile inviare richieste AJAX senza autenticazione, che permettevano tra l'altro l'accesso ai file, la loro cancellazione e l'accesso al database.
La vulnerabilità (CVE-2026-21627) è classificata come critica, con un punteggio CVSS di 9.5 su 10; è disponibile uno strumento di exploit pubblico. Sono vulnerabili le versioni del framework dalla 4.10.14 alla 6.0.37.
Le estensioni interessate sono in particolare queste: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack e MailChimp Auto-Subscribe. Poiché condividono tutte lo stesso framework, è sufficiente aggiornarne una: il framework si aggiorna insieme a essa.
Versioni minime sicure per ogni estensione
| Estensione | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
Dopo aver aggiornato una di queste estensioni, il Tassos Framework deve mostrare la versione 6.0.62 o successiva.
Il mio sito è interessato? – Come verificarlo
- Apri il back-end
Accedi al pannello di amministrazione di Joomla.
- Controlla il framework
Apri Sistema›Plugin e cerca
Tassos Framework. In alternativa puoi controllare i file/plugins/system/nrframework/nrframework.phpenrframework.xml. - Valuta la versione
Se la versione del framework è compresa tra la 4.10.14 e la 6.0.37, il sito è vulnerabile. È sicura la 6.0.62 o successiva.
Come risolvere la vulnerabilità
- Apri la gestione aggiornamenti
Vai su Sistema›Aggiorna›Estensioni e fai clic su Cerca aggiornamenti.
- Aggiorna un'estensione Tassos
Aggiorna una qualsiasi estensione Tassos installata (vedi tabella) alla versione minima indicata. Il framework viene aggiornato insieme a essa.
- Verifica il framework
Controlla in Sistema›Plugin che «Tassos Framework» mostri ora la versione 6.0.62 o successiva.
Download ufficiale: via Tassos account. Assicurati di avere almeno Tassos Framework 6.0.62 o successiva.
Il sito è già stato attaccato?
Ti serve aiuto per ripulire il sito? Trovi professionisti qualificati nella Directory dei fornitori di servizi Joomla.
Fonti & approfondimenti
- Analisi dettagliata – Website-Bereinigung.deEstensioni interessate, versioni, bonifica
- CVE-2026-21627 (CVE.org)Record CVE ufficiale
- Tassos (sviluppatore)Download degli aggiornamenti
Fanno sempre fede le informazioni ufficiali del rispettivo sviluppatore. Questa pagina riassume in modo neutrale informazioni pubblicamente disponibili.
Vulnerabilità simili
Altre estensioni con vulnerabilità analoghe. Verifica se una di queste è installata sul tuo sito.
I sostenitori di questo sito
htprotect.org è un servizio informativo gratuito e indipendente dai produttori. È sostenuto da:
Provider di hosting Joomla dalla Germania, con un supporto community attivo – ha individuato il primo attacco alla vulnerabilità di JCE.
fc-hosting.de
Specializzata nella bonifica, nella manutenzione e nella messa in sicurezza di siti Joomla e WordPress.
website-bereinigung.deSostieni questo progetto
Offri servizi di hosting o servizi legati a Joomla e vuoi sostenere htprotect.org – comparendo qui tra i sostenitori? Ogni contributo aiuta ad avvisare e a proteggere più in fretta chi è colpito.
Preferisci contribuire in privato, senza comparire nell'elenco? Anche un piccolo contributo per offrirci un caffè ci fa altrettanto piacere.
Produzione e montaggio di cartelli da cantiere, recinzioni da cantiere e soluzioni per facciate – design e visualizzazione 3D inclusi.
bauschildundservice.deSupporto IT professionale dalla Repubblica Ceca – gestione Windows, amministrazione di domini e web hosting.
defendersoft.cz
Portale di viaggi dalla Germania – pacchetti vacanza, hotel e voli online, con la consulenza personale di un'agenzia di viaggi.
onlineweg.de
Agenzia creativa del Brandenburg – web design, materiali stampati, fotografia e panoramiche a 360° da un unico interlocutore.
criadero.deFornitore di servizi IT di Wächtersbach – siti Joomla, assistenza PC, hardware e software.
jahnedv.de
Consulenza sulla sicurezza delle informazioni con sede a Berlin – analisi di sicurezza, gestione del rischio e ISO 27001 per le PMI.
isari-consult.de