Tassos/Novarain Framework: ช่องโหว่ร้ายแรง CVSS 9.5

สรุปข้อมูลสำคัญ

ช่องโหว่นี้คืออะไร

Tassos Framework ซึ่งเดิมรู้จักกันในชื่อ Novarain Framework ทำงานเป็นปลั๊กอินระบบ (plg_system_nrframework) และเป็นฐานร่วมของส่วนเสริมยอดนิยมหลายตัว การส่งคำขอ AJAX ผ่าน com_ajax สามารถทำได้โดยไม่ต้องยืนยันตัวตน ซึ่งเปิดทางให้เข้าถึงไฟล์ ลบไฟล์ และเข้าถึงฐานข้อมูลได้

ช่องโหว่นี้ (CVE-2026-21627) ถูกจัดอยู่ในระดับร้ายแรง ด้วยคะแนน CVSS 9.5 จาก 10 และมีเครื่องมือโจมตีเผยแพร่สู่สาธารณะแล้ว เฟรมเวิร์กที่มีช่องโหว่คือเวอร์ชัน 4.10.14 ถึง 6.0.37

ส่วนเสริมที่ได้รับผลกระทบโดยตรง ได้แก่ Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack และ MailChimp Auto-Subscribe เนื่องจากทั้งหมดใช้เฟรมเวิร์กชุดเดียวกัน จึงเพียงอัปเดตตัวใดตัวหนึ่งก็พอ เพราะเฟรมเวิร์กจะได้รับการอัปเดตไปพร้อมกัน

เวอร์ชันขั้นต่ำที่ปลอดภัยของแต่ละส่วนเสริม

หลังอัปเดตส่วนเสริมตัวใดตัวหนึ่งข้างต้นแล้ว Tassos Framework ต้องแสดงเวอร์ชัน 6.0.62 ขึ้นไป

เว็บไซต์ของคุณได้รับผลกระทบหรือไม่ – วิธีตรวจสอบ

1. เปิดส่วนผู้ดูแลระบบ

   ลงชื่อเข้าใช้ส่วนผู้ดูแลระบบของ Joomla

2. ตรวจสอบเฟรมเวิร์ก

   เปิด ระบบ›ปลั๊กอิน แล้วค้นหา Tassos Framework หรือจะตรวจสอบจากไฟล์ /plugins/system/nrframework/nrframework.php และ nrframework.xml โดยตรงก็ได้

3. ประเมินเวอร์ชันที่พบ

   หากเวอร์ชันของเฟรมเวิร์กอยู่ระหว่าง 4.10.14 ถึง 6.0.37 แสดงว่าเว็บไซต์มีช่องโหว่ เวอร์ชันที่ปลอดภัยคือ 6.0.62 ขึ้นไป

วิธีปิดช่องโหว่นี้

1. เปิดหน้าอัปเดต

   ไปที่ ระบบ›อัปเดต›ส่วนเสริม แล้วคลิก ตรวจสอบการอัปเดต

2. อัปเดตส่วนเสริมของ Tassos หนึ่งตัว

   อัปเดตส่วนเสริมของ Tassos ที่ติดตั้งไว้ตัวใดก็ได้ (ดูตารางด้านบน) ให้ถึงเวอร์ชันขั้นต่ำที่ระบุไว้ เฟรมเวิร์กจะได้รับการอัปเดตไปพร้อมกัน

3. ยืนยันเวอร์ชันของเฟรมเวิร์ก

   ตรวจสอบที่ ระบบ›ปลั๊กอิน ว่า “Tassos Framework” แสดงเวอร์ชัน 6.0.62 ขึ้นไป แล้ว

แหล่งดาวน์โหลดอย่างเป็นทางการ: via Tassos account. ตรวจสอบให้แน่ใจว่าเป็นเวอร์ชันอย่างน้อย Tassos Framework 6.0.62 ขึ้นไป.

เว็บไซต์ถูกแฮกไปแล้วหรือไม่

ต้องการความช่วยเหลือในการกู้คืนเว็บไซต์ใช่หรือไม่ ค้นหาผู้เชี่ยวชาญที่เหมาะสมได้ที่ไดเรกทอรีผู้ให้บริการ Joomla

แหล่งข้อมูล & อ่านเพิ่มเติม

• บทวิเคราะห์เชิงลึก – Website-Bereinigung.deส่วนเสริมที่ได้รับผลกระทบ เวอร์ชัน และการล้างเว็บไซต์
• CVE-2026-21627 (CVE.org)บันทึก CVE อย่างเป็นทางการ
• Tassos (ผู้พัฒนา)แหล่งดาวน์โหลดอัปเดต

ให้ยึดข้อมูลอย่างเป็นทางการจากผู้พัฒนาแต่ละรายเป็นหลักเสมอ หน้านี้รวบรวมข้อมูลที่เปิดเผยต่อสาธารณะไว้อย่างเป็นกลาง

ช่องโหว่ที่คล้ายกัน

ส่วนเสริมอื่นที่มีช่องโหว่ในลักษณะใกล้เคียงกัน ตรวจสอบว่าเว็บไซต์ของคุณติดตั้งส่วนเสริมเหล่านี้อยู่หรือไม่

ผู้สนับสนุนเว็บไซต์นี้

htprotect.org เป็นแหล่งข้อมูลที่ใช้งานฟรีและไม่ขึ้นกับผู้พัฒนารายใด โดยได้รับการสนับสนุนจาก:

ผู้ให้บริการโฮสติ้ง & ชุมชน

FC-Hosting

ผู้ให้บริการโฮสติ้ง Joomla จากเยอรมนี พร้อมการสนับสนุนจากชุมชนอย่างต่อเนื่อง – เป็นผู้ตรวจพบการโจมตีช่องโหว่ JCE ครั้งแรก

fc-hosting.de

ผู้ริเริ่ม & ผู้ดูแลเว็บไซต์

Website-Bereinigung.de

เชี่ยวชาญด้านการกู้คืน ดูแลรักษา และเสริมความปลอดภัยให้เว็บไซต์ Joomla และ WordPress

website-bereinigung.de

Bauschild & Service

ผลิตและติดตั้งป้ายงานก่อสร้าง รั้วก่อสร้าง และงานผนังภายนอกอาคาร – รวมถึงการออกแบบและภาพจำลอง 3 มิติ

bauschildundservice.de

ITSPECIALISTA

IT Specialista

บริการซัพพอร์ตด้านไอทีระดับมืออาชีพจากสาธารณรัฐเช็ก – การจัดการ Windows การดูแลระบบโดเมน และเว็บโฮสติ้ง

defendersoft.cz

onlineweg.de

เว็บท่าท่องเที่ยวจากเยอรมนี – แพ็กเกจทัวร์ โรงแรม และตั๋วเครื่องบินออนไลน์ พร้อมคำแนะนำจากตัวแทนท่องเที่ยวโดยตรง

onlineweg.de

Criadero

เอเจนซีครีเอทีฟจาก Brandenburg – ออกแบบเว็บไซต์ สื่อสิ่งพิมพ์ งานถ่ายภาพ และภาพพาโนรามา 360° ครบวงจรในที่เดียว

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

ผู้ให้บริการด้านไอทีจาก Wächtersbach – เว็บไซต์ Joomla บริการดูแลคอมพิวเตอร์ ฮาร์ดแวร์และซอฟต์แวร์

jahnedv.de

IsariConsult

ที่ปรึกษาด้านความมั่นคงปลอดภัยสารสนเทศจาก Berlin – การวิเคราะห์ความปลอดภัย การบริหารความเสี่ยง และ ISO 27001 สำหรับธุรกิจขนาดกลางและขนาดย่อม

isari-consult.de