Tassos/Novarain Framework: vulnerabilidade crítica CVSS 9.5
Versão segura: Tassos Framework 6.0.62 ou superior · via Tassos account
Em resumo
plg_system_nrframeworkcom_ajax permitem acesso a arquivos e ao banco de dados; existe uma ferramenta de exploit públicaDo que se trata?
O Tassos Framework – antes conhecido como Novarain Framework – funciona como plugin de sistema (plg_system_nrframework) e serve de base comum a várias extensões populares. Por meio do com_ajax, era possível enviar requisições AJAX sem autenticação, o que permitia, entre outras coisas, acessar arquivos, apagar arquivos e acessar o banco de dados.
A vulnerabilidade (CVE-2026-21627) é classificada como crítica, com pontuação CVSS de 9.5 em 10; existe uma ferramenta de exploit pública. As versões vulneráveis do framework são as de 4.10.14 a 6.0.37.
As extensões afetadas são, em especial, estas: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack e MailChimp Auto-Subscribe. Como todas usam a mesma base de framework, basta atualizar uma delas – o framework é atualizado junto.
Versões mínimas seguras por extensão
| Extensão | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
Depois de atualizar uma dessas extensões, o Tassos Framework precisa exibir a versão 6.0.62 ou superior.
Meu site foi afetado? – Como verificar
- Abra o painel administrativo
Faça login no administrador do Joomla.
- Verifique o framework
Abra Sistema›Plugins e procure por
Tassos Framework. Como alternativa, confira os arquivos/plugins/system/nrframework/nrframework.phpenrframework.xml. - Avalie a versão
Se a versão do framework estiver entre 4.10.14 e 6.0.37, seu site está vulnerável. A versão segura é a 6.0.62 ou superior.
Como corrigir a vulnerabilidade
- Abra o gerenciador de atualizações
Vá em Sistema›Atualizar›Extensões e clique em Verificar atualizações.
- Atualize uma extensão da Tassos
Atualize qualquer extensão da Tassos que esteja instalada (veja a tabela) para a versão mínima indicada. O framework é atualizado junto com ela.
- Confirme a versão do framework
Verifique em Sistema›Plugins se “Tassos Framework” passou a exibir a versão 6.0.62 ou superior.
Download oficial: via Tassos account. Certifique-se de ter pelo menos Tassos Framework 6.0.62 ou superior.
Seu site já foi atacado?
Precisa de ajuda com a limpeza? Você encontra profissionais qualificados no Diretório de Prestadores de Serviços do Joomla.
Fontes & mais informações
- Análise detalhada – Website-Bereinigung.deExtensões afetadas, versões e limpeza
- CVE-2026-21627 (CVE.org)Registro oficial do CVE
- Tassos (desenvolvedor)Onde baixar as atualizações
As informações oficiais de cada desenvolvedor sempre prevalecem. Esta página reúne de forma neutra informações disponíveis publicamente.
Vulnerabilidades relacionadas
Outras extensões com vulnerabilidades semelhantes. Verifique se alguma delas está instalada no seu site.
Apoiadores deste site
O htprotect.org é um serviço de informação gratuito e independente de qualquer desenvolvedor. Ele conta com o apoio de:
Empresa de hospedagem Joomla da Alemanha, com suporte ativo da comunidade – detectou o primeiro ataque à vulnerabilidade do JCE.
fc-hosting.de
Especializada em limpeza, manutenção e proteção de sites Joomla e WordPress.
website-bereinigung.deApoie este projeto
Você tem um serviço de hospedagem ou trabalha com Joomla e quer apoiar o htprotect.org – e aparecer aqui como apoiador? Cada contribuição ajuda a avisar e a proteger mais rápido quem foi afetado.
Prefere contribuir de forma reservada, sem aparecer na lista? Uma ajuda para a caixinha do café é igualmente bem-vinda.
Fabricação e instalação de placas de obra, tapumes e soluções de fachada – incluindo design e visualização em 3D.
bauschildundservice.deSuporte de TI profissional da República Tcheca – gestão de Windows, administração de domínios e hospedagem de sites.
defendersoft.cz
Portal de viagens da Alemanha – pacotes de viagem, hotéis e passagens aéreas on-line, com atendimento personalizado de agência de viagens.
onlineweg.de
Agência de criação de Brandenburg – webdesign, materiais impressos, fotografia e panoramas em 360°, tudo em um só lugar.
criadero.dePrestadora de serviços de TI de Wächtersbach – sites em Joomla, assistência técnica de computadores, hardware e software.
jahnedv.de
Consultoria em segurança da informação de Berlin – análises de segurança, gestão de riscos e ISO 27001 para pequenas e médias empresas.
isari-consult.de