Tassos/Novarain Framework: ช่องโหว่ร้ายแรง CVSS 9.5
เวอร์ชันที่ปลอดภัย: Tassos Framework 6.0.62 ขึ้นไป · via Tassos account
สรุปข้อมูลสำคัญ
plg_system_nrframeworkcom_ajax โดยไม่ต้องยืนยันตัวตน ทำให้เข้าถึงไฟล์และฐานข้อมูลได้ มีเครื่องมือโจมตีเผยแพร่สู่สาธารณะแล้วช่องโหว่นี้คืออะไร
Tassos Framework ซึ่งเดิมรู้จักกันในชื่อ Novarain Framework ทำงานเป็นปลั๊กอินระบบ (plg_system_nrframework) และเป็นฐานร่วมของส่วนเสริมยอดนิยมหลายตัว การส่งคำขอ AJAX ผ่าน com_ajax สามารถทำได้โดยไม่ต้องยืนยันตัวตน ซึ่งเปิดทางให้เข้าถึงไฟล์ ลบไฟล์ และเข้าถึงฐานข้อมูลได้
ช่องโหว่นี้ (CVE-2026-21627) ถูกจัดอยู่ในระดับร้ายแรง ด้วยคะแนน CVSS 9.5 จาก 10 และมีเครื่องมือโจมตีเผยแพร่สู่สาธารณะแล้ว เฟรมเวิร์กที่มีช่องโหว่คือเวอร์ชัน 4.10.14 ถึง 6.0.37
ส่วนเสริมที่ได้รับผลกระทบโดยตรง ได้แก่ Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack และ MailChimp Auto-Subscribe เนื่องจากทั้งหมดใช้เฟรมเวิร์กชุดเดียวกัน จึงเพียงอัปเดตตัวใดตัวหนึ่งก็พอ เพราะเฟรมเวิร์กจะได้รับการอัปเดตไปพร้อมกัน
เวอร์ชันขั้นต่ำที่ปลอดภัยของแต่ละส่วนเสริม
| ส่วนเสริม | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
หลังอัปเดตส่วนเสริมตัวใดตัวหนึ่งข้างต้นแล้ว Tassos Framework ต้องแสดงเวอร์ชัน 6.0.62 ขึ้นไป
เว็บไซต์ของคุณได้รับผลกระทบหรือไม่ – วิธีตรวจสอบ
- เปิดส่วนผู้ดูแลระบบ
ลงชื่อเข้าใช้ส่วนผู้ดูแลระบบของ Joomla
- ตรวจสอบเฟรมเวิร์ก
เปิด ระบบ›ปลั๊กอิน แล้วค้นหา
Tassos Frameworkหรือจะตรวจสอบจากไฟล์/plugins/system/nrframework/nrframework.phpและnrframework.xmlโดยตรงก็ได้ - ประเมินเวอร์ชันที่พบ
หากเวอร์ชันของเฟรมเวิร์กอยู่ระหว่าง 4.10.14 ถึง 6.0.37 แสดงว่าเว็บไซต์มีช่องโหว่ เวอร์ชันที่ปลอดภัยคือ 6.0.62 ขึ้นไป
วิธีปิดช่องโหว่นี้
- เปิดหน้าอัปเดต
ไปที่ ระบบ›อัปเดต›ส่วนเสริม แล้วคลิก ตรวจสอบการอัปเดต
- อัปเดตส่วนเสริมของ Tassos หนึ่งตัว
อัปเดตส่วนเสริมของ Tassos ที่ติดตั้งไว้ตัวใดก็ได้ (ดูตารางด้านบน) ให้ถึงเวอร์ชันขั้นต่ำที่ระบุไว้ เฟรมเวิร์กจะได้รับการอัปเดตไปพร้อมกัน
- ยืนยันเวอร์ชันของเฟรมเวิร์ก
ตรวจสอบที่ ระบบ›ปลั๊กอิน ว่า “Tassos Framework” แสดงเวอร์ชัน 6.0.62 ขึ้นไป แล้ว
แหล่งดาวน์โหลดอย่างเป็นทางการ: via Tassos account. ตรวจสอบให้แน่ใจว่าเป็นเวอร์ชันอย่างน้อย Tassos Framework 6.0.62 ขึ้นไป.
เว็บไซต์ถูกแฮกไปแล้วหรือไม่
ต้องการความช่วยเหลือในการกู้คืนเว็บไซต์ใช่หรือไม่ ค้นหาผู้เชี่ยวชาญที่เหมาะสมได้ที่ไดเรกทอรีผู้ให้บริการ Joomla
แหล่งข้อมูล & อ่านเพิ่มเติม
- บทวิเคราะห์เชิงลึก – Website-Bereinigung.deส่วนเสริมที่ได้รับผลกระทบ เวอร์ชัน และการล้างเว็บไซต์
- CVE-2026-21627 (CVE.org)บันทึก CVE อย่างเป็นทางการ
- Tassos (ผู้พัฒนา)แหล่งดาวน์โหลดอัปเดต
ให้ยึดข้อมูลอย่างเป็นทางการจากผู้พัฒนาแต่ละรายเป็นหลักเสมอ หน้านี้รวบรวมข้อมูลที่เปิดเผยต่อสาธารณะไว้อย่างเป็นกลาง
Supporters of this site
htprotect.org is a free, vendor-independent information service. It is supported by:
Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.
fc-hosting.de
Specialised in cleaning, maintaining and securing Joomla and WordPress websites.
website-bereinigung.deSupport this project
You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.
Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.
Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.
bauschildundservice.deProfessional IT support from Czechia – Windows management, domain administration and web hosting.
defendersoft.cz
Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.
onlineweg.de
Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.
criadero.deIT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.
jahnedv.de
Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.
isari-consult.de