Joomla Sicherheitslücke im Tassos Framework / Novarain Framework

Viele Joomla-Betreiber wissen gar nicht, dass das Tassos Framework beziehungsweise das frühere Novarain Framework überhaupt auf ihrer Website installiert ist. Genau das macht diese Sicherheitslücke so unangenehm: Betroffen ist das Plugin plg_system_nrframework, das häufig nur als technische Abhängigkeit im Hintergrund mitläuft.

Die Schwachstelle wird unter CVE-2026-21627 geführt und ist als kritisch (9,5 von 10) eingestuft. Besonders problematisch ist, dass Angriffe ohne Login möglich sein können. Außerdem ist bereits ein öffentliches Exploit-Tool bekannt geworden. Wer Joomla-Websites mit Tassos-Erweiterungen betreibt oder betreut, sollte deshalb nicht auf später verschieben, sondern jetzt prüfen.

Inhalt

Worum geht es genau?

Die Schwachstelle betrifft nicht den Joomla-Core selbst, sondern das System-Plugin plg_system_nrframework. Technisch hängt das Problem mit bestimmten AJAX-Anfragen über com_ajax zusammen. In ungünstigen Fällen kann das unter anderem Dateizugriffe, Dateilöschung oder Datenbankzugriffe ermöglichen - ohne dass sich ein Angreifer vorher normal einloggen muss.

Besonders tückisch ist dabei, dass das Framework oft zusammen mit Erweiterungen wie Convert Forms, EngageBox, Google Structured Data, Advanced Custom Fields, Smile Pack oder MailChimp Auto-Subscribe installiert wurde. Viele Betreiber haben den eigentlichen Framework-Namen deshalb nie bewusst wahrgenommen.

Welche Websites sind betroffen?

Betroffen sind Joomla-Websites, auf denen das Tassos beziehungsweise Novarain Framework installiert ist. Typischerweise findest du es unter diesem Pfad:

/plugins/system/nrframework/

Wichtige Dateien sind dabei unter anderem:

/plugins/system/nrframework/nrframework.php
/plugins/system/nrframework/nrframework.xml

Wenn diese Dateien vorhanden sind, ist das Framework installiert. Laut den veröffentlichten Angaben gelten insbesondere Versionen von 4.10.14 bis 6.0.37 als verwundbar.

Warum diese Lücke in der Praxis so gefährlich ist

Solche Schwachstellen sind in der Realität oft gefährlicher als viele Standard-Updates, weil sie leicht übersehen werden. Das Framework läuft häufig still im Hintergrund, obwohl die eigentliche Joomla-Seite auf den ersten Blick unauffällig wirkt. Gleichzeitig kann ein reines Update zwar die Sicherheitslücke schließen - aber keinen bereits eingeschleusten Schadcode automatisch entfernen.

Das heißt konkret: Wenn eine Website bereits kompromittiert wurde, reicht „einfach nur aktualisieren“ nicht aus. Dann müssen zusätzlich Dateien, Benutzerkonten, Logs und typische Backdoor-Spuren geprüft werden.

Wichtiger Sonderfall: Das Framework kann nach einer Deinstallation trotzdem noch vorhanden sein

Ein besonders wichtiger Punkt aus dem offiziellen Herstellerhinweis: Das Framework kann auch dann noch auf der Website vorhanden sein, wenn eine Tassos-Erweiterung früher schon einmal deinstalliert wurde. Der Grund ist, dass das Plugin als gemeinsame Abhängigkeit nicht automatisch entfernt wird, um andere Erweiterungen nicht zu beschädigen.

Deshalb solltest du auch dann prüfen, wenn du glaubst, die betreffende Erweiterung gar nicht mehr zu nutzen:

1. Im Joomla-Backend anmelden
2. Zu Erweiterungen - Plugins oder System - Plugins gehen
3. Nach Tassos Framework suchen
4. Wenn das Plugin noch vorhanden ist:
   • bei aktiver Nutzung einer Tassos-Erweiterung vollständig aktualisieren
   • bei keiner weiteren Nutzung manuell deinstallieren

Gerade dieser Punkt dürfte bei vielen betroffenen Websites entscheidend sein, weil solche Reste im Alltag leicht übersehen werden.

Woran du eine mögliche Kompromittierung erkennen kannst

Wenn auf deiner Website eine verwundbare Version installiert war, solltest du nicht nur updaten, sondern auch auf Auffälligkeiten prüfen. Verdächtig sind unter anderem:

• unbekannte Admin-Benutzer
• verdächtige PHP-Dateien in Upload-, Cache- oder temporären Verzeichnissen
• manipulierte Template- oder Erweiterungsdateien
• auffällige Requests rund um com_ajax und plugin=nrframework in den Server-Logs
• Spam-Seiten, Weiterleitungen oder ungewöhnliche SEO-Artefakte im Google-Index

Wichtig: Ein erfolgreich eingespieltes Update bedeutet nicht automatisch, dass die Website auch bereits sauber ist.

Fazit

Die Sicherheitslücke im Tassos Framework beziehungsweise Novarain Framework ist vor allem deshalb gefährlich, weil sie viele Joomla-Betreiber zunächst gar nicht auf dem Schirm haben. Wer Tassos-Erweiterungen nutzt oder früher genutzt hat, sollte jetzt aktiv prüfen, ob plg_system_nrframework noch installiert ist, die betroffenen Erweiterungen aktualisieren und die Framework-Version kontrollieren.

Und genauso wichtig: Wenn es Anzeichen für einen Angriff gibt, sollte nicht nur gepatcht, sondern die Website auch vollständig geprüft und bei Bedarf bereinigt werden.

FAQ

Was ist CVE-2026-21627?

Das ist die Kennung der kritischen Sicherheitslücke im Joomla-Plugin plg_system_nrframework, also im Tassos beziehungsweise Novarain Framework.

Ist Joomla selbst betroffen?

Nein, betroffen ist nicht der Joomla-Core, sondern das zusätzliche Framework-Plugin.

Reicht es, nur eine Tassos-Erweiterung zu aktualisieren?

Ja, laut Hersteller reicht das in vielen Fällen aus, weil das gemeinsame Framework dabei automatisch mit aktualisiert wird.

Welche Framework-Version sollte nach dem Update installiert sein?

Nach dem Update sollte Tassos Framework v6.0.62 oder höher installiert sein.

Reicht ein Update immer aus?

Nein. Wenn die Website bereits kompromittiert wurde, muss zusätzlich geprüft werden, ob Schadcode, Backdoors oder andere Manipulationen vorhanden sind.

• Weiter