Güvenlik açığı

Tassos/Novarain Framework: kritik güvenlik açığı, CVSS 9.5

KritikCVSS 9.5 / 10Herkese açık istismar kodu mevcutCVE-2026-21627

Hemen harekete geçin

Herhangi bir Tassos eklentisini güncelleyin – framework böylece otomatik olarak 6.0.62+ sürümüne yükselir.

Güvenli sürümü indirin Güncelleme adımlarına gidin

Güvenli sürüm: Tassos Framework 6.0.62 veya üzeri · via Tassos account

Bir bakışta

Etkilenen eklenti

Tassos Framework (eski adıyla Novarain) – plg_system_nrframework sistem eklentisi

Üretici

Tassos Marinos (tassos.gr)

Açığın türü

Kimlik doğrulaması gerektirmeyen AJAX çağrıları com_ajax üzerinden dosya ve veritabanı erişimine olanak tanıyor; herkese açık bir exploit aracı mevcut

Etkilenen sürümler

4.10.14 ile 6.0.37 arasındaki framework sürümleri

Güvenli sürüm

Tassos Framework 6.0.62 veya üzeri İndirin

Önem derecesi

Kritik · CVSS 9.5 / 10

CVE

CVE-2026-21627

Joomla uyumluluğu

Joomla 3 / 4 / 5 / 6

Durum / yayın tarihi

4 Nisan 2026 itibarıyla

Bu güvenlik açığı nedir?

Tassos Framework – eski adıyla Novarain Framework – bir sistem eklentisi (plg_system_nrframework) olarak çalışır ve yaygın kullanılan birçok eklentinin ortak altyapısını oluşturur. com_ajax üzerinden AJAX istekleri kimlik doğrulaması olmadan gönderilebiliyordu; bu da başka şeylerin yanı sıra dosyalara erişilmesine, dosyaların silinmesine ve veritabanına erişilmesine olanak tanıyordu.

Açık (CVE-2026-21627), 10 üzerinden 9.5 CVSS puanıyla kritik olarak sınıflandırılıyor; herkese açık bir exploit aracı mevcut. 4.10.14 ile 6.0.37 arasındaki framework sürümleri savunmasız.

Özellikle şu eklentiler etkileniyor: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack ve MailChimp Auto-Subscribe. Hepsi aynı framework altyapısını kullandığı için bunlardan birini güncellemeniz yeterlidir – framework de onunla birlikte güncellenir.

Eklentilere göre güvenli asgari sürümler

Eklenti	Joomla 4 / 5 / 6	Joomla 3
Convert Forms	`5.1.1`	`4.4.11`
EngageBox	`7.1.1`	`6.3.9`
Google Structured Data	`6.1.1`	`5.6.9`
Advanced Custom Fields	`3.1.1`	`2.8.10`
Smile Pack	`2.1.1`	`1.2.4`
MailChimp Auto-Subscribe	`5.1.1`	`5.0.4`

Bu eklentilerden biri güncellendikten sonra Tassos Framework 6.0.62 veya üzeri bir sürüm göstermelidir.

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

Yönetim panelini açın
Joomla yönetim paneline giriş yapın.
Framework'ü kontrol edin
Sistem›Uyumlu Ekler bölümünü açın ve Tassos Framework araması yapın. Alternatif olarak /plugins/system/nrframework/nrframework.php ve nrframework.xml dosyalarını kontrol edin.
Sürümü değerlendirin
Framework sürümü 4.10.14 ile 6.0.37 arasındaysa siteniz savunmasızdır. 6.0.62 veya üzeri güvenlidir.

Güvenlik açığını nasıl kapatırsınız?

Her güncellemeden önce: yedek alın

Güncellemeden önce dosyalarınızı ve veritabanınızı yedekleyin – bir sorun çıkarsa eski duruma kolayca dönebilirsiniz (ör. Akeeba Backup ile veya hosting sağlayıcınız üzerinden).

Güncelleme merkezini açın
Sistem›Güncelle›Eklentiler yolunu izleyin ve Güncellemeleri Bul düğmesine tıklayın.
Bir Tassos eklentisini güncelleyin
Kurulu herhangi bir Tassos eklentisini (tabloya bakın) belirtilen asgari sürüme güncelleyin. Framework de onunla birlikte güncellenir.
Framework'ü doğrulayın
Sistem›Uyumlu Ekler bölümünde “Tassos Framework” girdisinin artık 6.0.62 veya üzeri bir sürüm gösterdiğini kontrol edin.

Güvenli sürümü indirin

Resmi kaynak: via Tassos account. Gerekli en düşük sürüm: Tassos Framework 6.0.62 veya üzeri.

Siteniz saldırıya uğradı mı?

Framework çoğu zaman fark edilmeden etkin kalır

Arka planda çalışır ve bir eklenti kaldırıldıktan sonra bile sistemde kalabilir (otomatik olarak silinmez). Saldırılar oturum açmadan gerçekleştirilebilir. Sitenizin ele geçirildiğinden şüpheleniyorsanız ayrıca şunları kontrol edin: arka kapılar, şüpheli yönetici hesapları ve değiştirilmiş dosyalar.

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Kaynaklar & ek bilgiler

Ayrıntılı analiz – Website-Bereinigung.deEtkilenen eklentiler, sürümler, temizlik
CVE-2026-21627 (CVE.org)Resmî CVE kaydı
Tassos (üretici)Güncellemeleri edinin

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Tüm güvenlik açıklarına dönün

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de