Tassos Framework (ehem. Novarain) – kritische Lücke, CVSS 9,5

Auf einen Blick

Worum geht es?

Das Tassos Framework – früher als Novarain Framework bekannt – läuft als System-Plugin (plg_system_nrframework) und bildet die gemeinsame Basis mehrerer populärer Erweiterungen. Über com_ajax waren AJAX-Anfragen ohne Authentifizierung möglich, die u. a. Dateizugriffe, das Löschen von Dateien oder Datenbankzugriffe erlaubten.

Die Lücke (CVE-2026-21627) wird mit einem CVSS-Wert von 9,5 von 10 als kritisch eingestuft; ein öffentliches Exploit-Tool ist verfügbar. Verwundbar sind Framework-Versionen 4.10.14 bis 6.0.37.

Betroffen sind insbesondere folgende Erweiterungen: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack und MailChimp Auto-Subscribe. Da alle dieselbe Framework-Basis nutzen, genügt es, eine davon zu aktualisieren – das Framework wird automatisch mitaktualisiert.

Sichere Mindestversionen je Erweiterung

Nach dem Update einer dieser Erweiterungen muss das Tassos Framework 6.0.62 oder höher anzeigen.

Bin ich betroffen? – So prüfen Sie es

1. Backend öffnen

   Melden Sie sich im Joomla-Administrator an.

2. Framework prüfen

   Öffnen Sie System›Plugins und suchen Sie nach Tassos Framework. Alternativ prüfen Sie die Dateien /plugins/system/nrframework/nrframework.php und nrframework.xml.

3. Version bewerten

   Liegt die Framework-Version zwischen 4.10.14 und 6.0.37, ist die Seite verwundbar. Sicher ist 6.0.62 oder höher.

So schließen Sie die Lücke

1. Update-Center öffnen

   Gehen Sie zu System›Aktualisieren›Erweiterungen und klicken Sie auf Auf Updates prüfen.

2. Eine Tassos-Erweiterung aktualisieren

   Aktualisieren Sie eine beliebige installierte Tassos-Erweiterung (siehe Tabelle) auf die angegebene Mindestversion. Das Framework wird automatisch mitaktualisiert.

3. Framework verifizieren

   Prüfen Sie unter System›Plugins, dass „Tassos Framework“ nun 6.0.62 oder höher anzeigt.

Offizielle Bezugsquelle: über Tassos-Konto. Achten Sie auf mindestens Tassos Framework 6.0.62 oder höher.

Wurde die Seite schon angegriffen?

Quellen & weiterführende Links

• Detail-Analyse – Website-Bereinigung.deBetroffene Erweiterungen, Versionen, Bereinigung
• CVE-2026-21627 (CVE.org)Offizieller CVE-Eintrag
• Tassos (Hersteller)Bezug der Updates

Maßgeblich sind stets die offiziellen Angaben des jeweiligen Herstellers. Diese Seite fasst öffentlich verfügbare Informationen neutral zusammen.

Unterstützer dieser Seite

htprotect.org ist ein kostenloses, herstellerunabhängiges Informationsangebot. Unterstützt wird es von:

Hoster & Community

FC-Hosting

Joomla-Hoster aus Deutschland mit aktivem Community-Support – entdeckte den ersten Angriff auf die JCE-Sicherheitslücke.

fc-hosting.de

Initiator & Betreiber

Website-Bereinigung.de

Spezialisiert auf Bereinigung, Wartung und Absicherung von Joomla- und WordPress-Websites.

website-bereinigung.de