Tassos/Novarain Framework: kritisk säkerhetsbrist, CVSS 9.5

I korthet

Vad handlar det om?

Tassos Framework – tidigare känt som Novarain Framework – körs som systeminsticksmodul (plg_system_nrframework) och utgör den gemensamma grunden för flera populära tillägg. Via com_ajax gick det att skicka AJAX-anrop utan autentisering, vilket bland annat gav åtkomst till filer och databasen samt möjlighet att radera filer.

Säkerhetsbristen (CVE-2026-21627) klassas som kritisk med ett CVSS-värde på 9.5 av 10; ett offentligt exploit-verktyg finns tillgängligt. Sårbara är ramverksversionerna 4.10.14 till och med 6.0.37.

Framför allt berörs följande tillägg: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack och MailChimp Auto-Subscribe. Eftersom de alla bygger på samma ramverk räcker det att uppdatera ett av dem – ramverket följer med i uppdateringen.

Säkra minimiversioner per tillägg

När du har uppdaterat ett av dessa tillägg ska Tassos Framework visa 6.0.62 eller senare.

Är jag drabbad? – så här kontrollerar du

1. Öppna adminpanelen

   Logga in i Joomlas administratörsgränssnitt.

2. Kontrollera ramverket

   Öppna System›Insticksmoduler och sök efter Tassos Framework. Alternativt kan du kontrollera filerna /plugins/system/nrframework/nrframework.php och nrframework.xml.

3. Bedöm versionen

   Ligger ramverksversionen mellan 4.10.14 och 6.0.37 är webbplatsen sårbar. Säker version är 6.0.62 eller senare.

Så åtgärdar du säkerhetsbristen

1. Öppna uppdateringscentret

   Gå till System›Uppdatera›Tillägg och klicka på Sök efter uppdateringar.

2. Uppdatera ett Tassos-tillägg

   Uppdatera ett valfritt installerat Tassos-tillägg (se tabellen) till den angivna minimiversionen. Ramverket följer med i uppdateringen.

3. Verifiera ramverket

   Kontrollera under System›Insticksmoduler att ”Tassos Framework” nu visar 6.0.62 eller senare.

Officiell källa: via Tassos account. Se till att du har minst Tassos Framework 6.0.62 eller senare.

Har webbplatsen redan blivit hackad?

Behöver du hjälp med saneringen? Du hittar kunniga specialister i Joomlas katalog över tjänsteleverantörer.

Källor & mer information

• Detaljerad analys – Website-Bereinigung.deBerörda tillägg, versioner och sanering
• CVE-2026-21627 (CVE.org)Officiell CVE-post
• Tassos (utvecklaren)Här hämtar du uppdateringarna

Det är alltid respektive utvecklares officiella uppgifter som gäller. Den här sidan sammanfattar offentligt tillgänglig information på ett neutralt sätt.

Liknande säkerhetsbrister

Andra tillägg med jämförbara svagheter. Kontrollera om något av dem är installerat på din webbplats.

Stödjare av den här sidan

htprotect.org är en kostnadsfri och utvecklaroberoende informationstjänst. Sidan stöds av:

Webbhotell & community

FC-Hosting

Joomla-webbhotell från Tyskland med aktiv community-support – upptäckte den första attacken mot säkerhetsbristen i JCE.

fc-hosting.de

Initiativtagare & ansvarig

Website-Bereinigung.de

Specialiserade på sanering, underhåll och säkring av Joomla- och WordPress-webbplatser.

website-bereinigung.de

Bauschild & Service

Tillverkning och montering av byggskyltar, byggstängsel och fasadlösningar – inklusive design och 3D-visualisering.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professionell IT-support från Tjeckien – Windows-hantering, domänadministration och webbhotell.

defendersoft.cz

onlineweg.de

Reseportal från Tyskland – paketresor, hotell och flyg online, med personlig rådgivning från resebyrå.

onlineweg.de

Criadero

Kreativbyrå från Brandenburg – webbdesign, trycksaker, fotografi och 360°-panoraman från en och samma leverantör.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT-leverantör från Wächtersbach – Joomla-webbplatser, PC-service, hårdvara och mjukvara.

jahnedv.de

IsariConsult

Rådgivning inom informationssäkerhet från Berlin – säkerhetsanalyser, riskhantering och ISO 27001 för små och medelstora företag.

isari-consult.de