Tassos/Novarain Framework: kritiek beveiligingslek, CVSS 9.5

In het kort

Waar gaat het om?

Het Tassos Framework – vroeger bekend als het Novarain Framework – draait als systeemplug-in (plg_system_nrframework) en vormt de gedeelde basis van meerdere populaire extensies. Via com_ajax waren AJAX-verzoeken zonder authenticatie mogelijk, die onder meer toegang tot bestanden, het verwijderen van bestanden en toegang tot de database mogelijk maakten.

Het lek (CVE-2026-21627) is met een CVSS-score van 9.5 van de 10 als kritiek beoordeeld; er is een openbare exploittool beschikbaar. Kwetsbaar zijn de frameworkversies 4.10.14 tot en met 6.0.37.

Het gaat met name om deze extensies: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack en MailChimp Auto-Subscribe. Omdat ze allemaal dezelfde frameworkbasis gebruiken, volstaat het om één daarvan bij te werken – het framework wordt dan automatisch mee bijgewerkt.

Veilige minimumversies per extensie

Na het bijwerken van een van deze extensies moet het Tassos Framework 6.0.62 of hoger tonen.

Ben ik getroffen? – Zo controleer je het

1. Backend openen

   Log in op de Joomla-beheeromgeving (administrator).

2. Framework controleren

   Open Systeem›Plug-ins en zoek op Tassos Framework. Je kunt ook de bestanden /plugins/system/nrframework/nrframework.php en nrframework.xml bekijken.

3. Versie beoordelen

   Ligt de frameworkversie tussen 4.10.14 en 6.0.37, dan is de website kwetsbaar. Veilig is 6.0.62 of hoger.

Zo dicht je het lek

1. Updatecentrum openen

   Ga naar Systeem›Bijwerken›Extensies en klik op Controleer op updates.

2. Eén Tassos-extensie bijwerken

   Werk een willekeurige geïnstalleerde Tassos-extensie (zie tabel) bij naar de genoemde minimumversie. Het framework wordt automatisch mee bijgewerkt.

3. Framework verifiëren

   Controleer onder Systeem›Plug-ins of ‘Tassos Framework’ nu 6.0.62 of hoger toont.

Officiële bron: via Tassos account. Zorg voor minimaal Tassos Framework 6.0.62 of hoger.

Is de site al aangevallen?

Hulp nodig bij het opschonen? Geschikte specialisten vind je in de Joomla Service Providers Directory.

Bronnen & meer informatie

• Uitgebreide analyse – Website-Bereinigung.deGetroffen extensies, versies, opschonen
• CVE-2026-21627 (CVE.org)Officiële CVE-registratie
• Tassos (ontwikkelaar)Hier vind je de updates

De officiële informatie van de betreffende ontwikkelaar is altijd leidend. Deze pagina vat openbaar beschikbare informatie neutraal samen.

Vergelijkbare beveiligingslekken

Andere extensies met vergelijkbare kwetsbaarheden. Controleer of een daarvan op je website is geïnstalleerd.

Ondersteuners van deze site

htprotect.org is een gratis informatiesite die onafhankelijk is van ontwikkelaars. De site wordt ondersteund door:

Hostingprovider & community

FC-Hosting

Joomla-hostingprovider uit Duitsland met actieve community-ondersteuning – ontdekte de eerste aanval op het JCE-beveiligingslek.

fc-hosting.de

Initiatiefnemer & beheerder

Website-Bereinigung.de

Gespecialiseerd in het opschonen, onderhouden en beveiligen van Joomla- en WordPress-websites.

website-bereinigung.de

Bauschild & Service

Fabricage en montage van bouwborden, bouwhekken en geveloplossingen – inclusief ontwerp en 3D-visualisatie.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professionele IT-ondersteuning uit Tsjechië – Windows-beheer, domeinbeheer en webhosting.

defendersoft.cz

onlineweg.de

Reisportaal uit Duitsland – pakketreizen, hotels en vluchten online, met persoonlijk advies van een reisbureau.

onlineweg.de

Criadero

Creatief bureau uit Brandenburg – webdesign, drukwerk, fotografie en 360°-panorama's, alles uit één hand.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT-dienstverlener uit Wächtersbach – Joomla-websites, pc-service, hard- en software.

jahnedv.de

IsariConsult

Advies over informatiebeveiliging uit Berlijn – beveiligingsanalyses, risicomanagement en ISO 27001 voor het mkb.

isari-consult.de