Tassos/Novarain Framework: критическая уязвимость, CVSS 9.5
Безопасная версия: Tassos Framework 6.0.62 или новее · via Tassos account
Коротко о главном
plg_system_nrframeworkcom_ajax открывают доступ к файлам и базе данных; существует общедоступный инструмент для эксплуатацииВ чём суть уязвимости?
Tassos Framework — ранее известный как Novarain Framework — работает как системный плагин (plg_system_nrframework) и служит общей основой для нескольких популярных расширений. Через com_ajax можно было отправлять AJAX-запросы без авторизации, а они, помимо прочего, открывали доступ к файлам, позволяли удалять файлы и обращаться к базе данных.
Уязвимость (CVE-2026-21627) оценена как критическая — CVSS 9.5 из 10; общедоступный инструмент для её эксплуатации уже существует. Уязвимы версии фреймворка с 4.10.14 по 6.0.37.
В первую очередь это касается следующих расширений: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack и MailChimp Auto-Subscribe. Все они построены на одном и том же фреймворке, поэтому достаточно обновить одно из них — фреймворк обновится вместе с ним.
Минимальные безопасные версии расширений
| Расширение | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
После обновления одного из этих расширений Tassos Framework должен показывать версию 6.0.62 или новее.
Мой сайт уязвим? – Как это проверить
- Откройте панель администратора
Войдите в административную панель Joomla.
- Проверьте фреймворк
Откройте Система›Плагины и найдите
Tassos Framework. Либо проверьте файлы/plugins/system/nrframework/nrframework.phpиnrframework.xml. - Оцените версию
Если версия фреймворка попадает в диапазон от 4.10.14 до 6.0.37, сайт уязвим. Безопасной считается версия 6.0.62 или новее.
Как закрыть уязвимость
- Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
- Обновите одно расширение Tassos
Обновите любое установленное расширение Tassos (см. таблицу) до указанной минимальной версии. Фреймворк обновится вместе с ним.
- Проверьте версию фреймворка
Убедитесь в разделе Система›Плагины, что «Tassos Framework» теперь показывает 6.0.62 или новее.
Официальный источник: via Tassos account. Убедитесь, что установлена версия не ниже Tassos Framework 6.0.62 или новее.
Сайт уже взломали?
Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.
Источники & полезные ссылки
- Подробный разбор — Website-Bereinigung.deУязвимые расширения, версии, очистка сайта
- CVE-2026-21627 (CVE.org)Официальная запись CVE
- Tassos (разработчик)Источник обновлений
Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.
Похожие уязвимости
Другие расширения со схожими уязвимостями. Проверьте, не установлено ли какое-либо из них на вашем сайте.
Партнёры этого сайта
htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:
Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.
fc-hosting.de
Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.
website-bereinigung.deПоддержать этот проект
Вы предоставляете услуги хостинга или работаете с Joomla и хотите поддержать htprotect.org – и быть указанным здесь среди партнёров? Любая поддержка помогает быстрее предупреждать и защищать тех, кого это коснулось.
Предпочитаете поддержать частным образом, без упоминания? Небольшой взнос в копилку на кофе порадует нас не меньше.
Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.
bauschildundservice.deПрофессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.
defendersoft.cz
Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.
onlineweg.de
Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.
criadero.deИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.
jahnedv.de
Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.
isari-consult.de