Tassos/Novarain Framework: vulnerabilidade crítica CVSS 9.5

Em resumo

Do que se trata?

O Tassos Framework – antes conhecido como Novarain Framework – funciona como plugin de sistema (plg_system_nrframework) e serve de base comum a várias extensões populares. Por meio do com_ajax, era possível enviar requisições AJAX sem autenticação, o que permitia, entre outras coisas, acessar arquivos, apagar arquivos e acessar o banco de dados.

A vulnerabilidade (CVE-2026-21627) é classificada como crítica, com pontuação CVSS de 9.5 em 10; existe uma ferramenta de exploit pública. As versões vulneráveis do framework são as de 4.10.14 a 6.0.37.

As extensões afetadas são, em especial, estas: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack e MailChimp Auto-Subscribe. Como todas usam a mesma base de framework, basta atualizar uma delas – o framework é atualizado junto.

Versões mínimas seguras por extensão

Depois de atualizar uma dessas extensões, o Tassos Framework precisa exibir a versão 6.0.62 ou superior.

Meu site foi afetado? – Como verificar

1. Abra o painel administrativo

   Faça login no administrador do Joomla.

2. Verifique o framework

   Abra Sistema›Plugins e procure por Tassos Framework. Como alternativa, confira os arquivos /plugins/system/nrframework/nrframework.php e nrframework.xml.

3. Avalie a versão

   Se a versão do framework estiver entre 4.10.14 e 6.0.37, seu site está vulnerável. A versão segura é a 6.0.62 ou superior.

Como corrigir a vulnerabilidade

1. Abra o gerenciador de atualizações

   Vá em Sistema›Atualizar›Extensões e clique em Verificar atualizações.

2. Atualize uma extensão da Tassos

   Atualize qualquer extensão da Tassos que esteja instalada (veja a tabela) para a versão mínima indicada. O framework é atualizado junto com ela.

3. Confirme a versão do framework

   Verifique em Sistema›Plugins se “Tassos Framework” passou a exibir a versão 6.0.62 ou superior.

Download oficial: via Tassos account. Certifique-se de ter pelo menos Tassos Framework 6.0.62 ou superior.

Seu site já foi atacado?

Precisa de ajuda com a limpeza? Você encontra profissionais qualificados no Diretório de Prestadores de Serviços do Joomla.

Fontes & mais informações

• Análise detalhada – Website-Bereinigung.deExtensões afetadas, versões e limpeza
• CVE-2026-21627 (CVE.org)Registro oficial do CVE
• Tassos (desenvolvedor)Onde baixar as atualizações

As informações oficiais de cada desenvolvedor sempre prevalecem. Esta página reúne de forma neutra informações disponíveis publicamente.

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de