Tassos/Novarain: критична вразливість Joomla, CVSS 9.5
Безпечна версія: Tassos Framework 6.0.62 або новіший · via Tassos account
Коротко про головне
plg_system_nrframeworkcom_ajax відкривають доступ до файлів і бази даних; у відкритому доступі вже є готовий інструмент для експлуатаціїПро що йдеться?
Tassos Framework – раніше відомий як Novarain Framework – працює як системний плагін (plg_system_nrframework) і є спільною основою для кількох популярних розширень. Через com_ajax AJAX-запити можна було надсилати без автентифікації, а це відкривало, зокрема, читання та видалення файлів і доступ до бази даних.
Вразливість (CVE-2026-21627) оцінена як критична – 9.5 з 10 за шкалою CVSS; готовий інструмент для експлуатації доступний публічно. Вразливі версії фреймворку – від 4.10.14 до 6.0.37.
Це стосується насамперед таких розширень: Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack та MailChimp Auto-Subscribe. Оскільки всі вони спираються на той самий фреймворк, достатньо оновити одне з них – фреймворк оновиться разом із ним.
Безпечні мінімальні версії для кожного розширення
| Розширення | Joomla 4 / 5 / 6 | Joomla 3 |
|---|---|---|
| Convert Forms | 5.1.1 | 4.4.11 |
| EngageBox | 7.1.1 | 6.3.9 |
| Google Structured Data | 6.1.1 | 5.6.9 |
| Advanced Custom Fields | 3.1.1 | 2.8.10 |
| Smile Pack | 2.1.1 | 1.2.4 |
| MailChimp Auto-Subscribe | 5.1.1 | 5.0.4 |
Після оновлення будь-якого з цих розширень Tassos Framework має показувати версію 6.0.62 або новішу.
Чи стосується це мого сайту? – Як перевірити
- Відкрийте панель адміністратора
Увійдіть до Joomla як адміністратор.
- Перевірте фреймворк
Відкрийте Система›Плагіни і знайдіть
Tassos Framework. Як варіант, перевірте файли/plugins/system/nrframework/nrframework.phpтаnrframework.xml. - Оцініть версію
Якщо версія фреймворку в діапазоні від 4.10.14 до 6.0.37, сайт вразливий. Безпечна версія – 6.0.62 або новіша.
Як усунути вразливість
- Відкрийте центр оновлень
Перейдіть до Система›Оновлення›Розширення і натисніть Перевірити наявність оновлень.
- Оновіть одне розширення Tassos
Оновіть будь-яке встановлене розширення Tassos (див. таблицю) до вказаної мінімальної версії. Фреймворк оновиться разом із ним.
- Перевірте версію фреймворку
У розділі Система›Плагіни переконайтеся, що «Tassos Framework» тепер показує 6.0.62 або новішу версію.
Офіційне джерело: via Tassos account. Переконайтеся, що встановлено щонайменше Tassos Framework 6.0.62 або новіший.
Чи вже атакували ваш сайт?
Потрібна допомога з очищенням сайту? Кваліфікованих фахівців ви знайдете в каталозі постачальників послуг Joomla.
Джерела & додаткові матеріали
- Детальний аналіз – Website-Bereinigung.deВразливі розширення, версії, очищення сайту
- CVE-2026-21627 (CVE.org)Офіційний запис CVE
- Tassos (розробник)Завантаження оновлень
Пріоритет завжди мають офіційні дані відповідного розробника. Ця сторінка нейтрально узагальнює загальнодоступну інформацію.
Схожі вразливості
Інші розширення з подібними вразливостями. Перевірте, чи встановлено якесь із них на вашому сайті.
Хто підтримує цей сайт
htprotect.org — це безкоштовний інформаційний ресурс, незалежний від розробників розширень. Його підтримують:
Хостинг-провайдер для Joomla з Німеччини з активною підтримкою спільноти – виявив першу атаку на вразливість у JCE.
fc-hosting.de
Спеціалізується на очищенні, обслуговуванні та захисті сайтів на Joomla і WordPress.
website-bereinigung.deПідтримайте цей проєкт
Ви надаєте послуги хостингу або обслуговування Joomla і хочете підтримати htprotect.org – та з’явитися тут серед тих, хто нас підтримує? Кожен внесок допомагає швидше попереджати й захищати тих, кого це стосується.
Бажаєте підтримати приватно, без згадки у списку? Невеликий внесок у скарбничку на каву потішить нас так само.
Виготовлення та монтаж будівельних щитів, огорож для будівельних майданчиків і фасадних рішень – разом із дизайном і 3D-візуалізацією.
bauschildundservice.deПрофесійна ІТ-підтримка з Чехії – керування Windows, адміністрування доменів і вебхостинг.
defendersoft.cz
Туристичний портал із Німеччини – пакетні тури, готелі та авіаквитки онлайн, із персональними консультаціями турагенції.
onlineweg.de
Креативна агенція з Бранденбургу – вебдизайн, друкована продукція, фотографія та панорами 360° від одного виконавця.
criadero.deПостачальник ІТ-послуг із Wächtersbach – сайти на Joomla, обслуговування комп’ютерів, апаратне та програмне забезпечення.
jahnedv.de
Консультації з інформаційної безпеки з Берліна – аналіз безпеки, управління ризиками та ISO 27001 для малого й середнього бізнесу.
isari-consult.de