遠端 Debian 12 / 13 主機安裝了一個套件其受到 dsa-6105 公告中所提及的一個弱點影響。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6105-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 modsecurity-crs CVE ID CVE-2026-21876

    據發現OWASP ModSecurity Core 規則集中的其中一個規則未正確剖析某些 multipart 要求。

    針對舊的穩定發行版本 (bookwarm)此問題已在 3.3.4-1+deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 3.3.7-1+deb13u1 版本中修正。

    建議您升級 modsecurity-crs 套件。

    如需有關 modsecurity-crs 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6105 公告中提及的漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6105-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包modsecurity-crs CVE ID CVE-2026-21876

    发现 OWASP ModSecurity 核心规则集中的其中一个规则未能正确解析某些多部分请求。

    对于旧稳定发行版本 (bookbird)已在版本 3.3.4-1+deb12u1 中修复此问题。

    对于稳定发行版本 (trixie)已在版本 3.3.7-1+deb13u1 中修复此问题。

    我们建议您升级 modsecurity-crs 程序包。

    如需了解 modsecurity-crs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - OWASP 核心規則集（CRS）是一套通用攻擊偵測規則，供相容的網頁應用防火牆使用。在 4.22.0 版本 和 3.3.8之前，現行規則 922110 在處理多部分請求時存在一個錯誤。當鏈結中的第一個規則反覆使用集合 (例如 `MULTIPART_PART_HEADERS`) 時，每次反覆覆寫擷取變數 (`TX:0`、`TX:1`)。只有最後擷取的值可用於鏈結規則，這表示若後續部分具有合法字元集，則可能遺漏較早部分中的惡意字元集。版本 4.22.0 並 3.3.8 修補問題。（CVE-2026-21876）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

因此，它會受到 ALAS2023-2026-1399 公告中提及的一個弱點影響。

    OWASP 核心規則集 (CRS) 是一組適用於相容 Web 應用程式防火牆的一般攻擊偵測規則。 4.22.0 和 3.3.8版之前目前的規則 922110 在處理具有多個部分的多部分要求時存有一個錯誤。當鏈結中的第一個規則反覆使用集合 (例如 `MULTIPART_PART_HEADERS`) 時，每次反覆覆寫擷取變數 (`TX:0`、`TX:1`)。只有最後擷取的值可用於鏈結規則，這表示若後續部分具有合法字元集，則可能遺漏較早部分中的惡意字元集。 4.22.0 與 3.3.8 版修補此問題。 (CVE-2026-21876)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OWASP 核心规则集（CRS）是一套通用攻击检测规则，适用于兼容的网络应用防火墙。在版本和4.22.03.3.8之前，当前规则922110在处理多部分请求时存在一个bug。当链中的第一条规则在集合中迭代时（如 `MULTIPART_PART_HEADERS`），每次迭代都会覆盖捕获变量（`TX:0`、`TX:1`）。只有上次捕获的值可用于链接规则，这意味着如果后续部分具有合法的字符集，则之前部分中的恶意字符集可能会被遗漏掉。版本 4.22.0 并 3.3.8 修复问题。（CVE-2026-21876）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它受到 ALAS2023-2026-1399 公告中提及的一个漏洞影响。

    OWASP 核心规则集 (CRS) 是一组通用攻击检测规则，可与兼容的 Web 应用程序防火墙一起使用。在低于版本 4.22.0 和 3.3.8的版本中当前规则 922110 在处理具有多个部分的多部分请求时有一个缺陷。当链中的第一条规则在集合中迭代时（如 `MULTIPART_PART_HEADERS`），每次迭代都会覆盖捕获变量（`TX:0`、`TX:1`）。只有上次捕获的值可用于链接规则，这意味着如果后续部分具有合法的字符集，则之前部分中的恶意字符集可能会被遗漏掉。 4.22.0 和 3.3.8 版修补了问题。 (CVE-2026-21876)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 11 主機上安裝的一個套件受到 dla-4488 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4488-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：modsecurity-crs 版本：3.3.4-1~deb11u2 CVE ID：CVE-2023-38199 CVE-2026-21876 Debian 錯誤：1041109 1125084

    已修復 modsecurity-crs (一組用於 ModSecurity 的一般攻擊偵測規則) 中的多個問題。

    CVE-2023-38199

        3.3.4 及之前的 Coreruleset (即 OWASP ModSecurity Core Rule Set) 在某些平台上未偵測到多個 Content-Type 要求標頭。攻擊者可能藉此使用特製的承載繞過 WAF，即 WAF 和後端應用程式之間的 Content-Type 混淆。
        若 Web 應用程式僅依賴最後一個 Content-Type 標頭，則會發生此情況。其他平台可能會拒絕其他 Content-Type 標頭或合併衝突的標頭，進而導致偵測格式錯誤的標頭。

    CVE-2026-21876

        處理具有多個部分的多部分要求時，目前的規則 922110 有一個錯誤。當鏈結中的第一個規則反覆使用集合 (例如 `MULTIPART_PART_HEADERS`) 時，每次反覆覆寫擷取變數 (`TX:0`、`TX:1`)。只有最後擷取的值可用於鏈結規則，這表示若後續部分具有合法字元集，則可能遺漏較早部分中的惡意字元集。

    針對 Debian 11 bullseye，已在 3.3.4-1~deb11u2 版本中修復這些問題。

    建議您升級 modsecurity-crs 套件。

    如需有關 modsecurity-crs 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上安装的多个程序包受到 dla-4488 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4488-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：modsecurity-crs 版本：3.3.4-1~deb11u2 CVE ID：CVE-2023-38199 CVE-2026-21876 Debian 缺陷：1041109 1125084

    已修复 modsecurity-crs（一组与 ModSecurity 配合使用的通用攻击检测规则）中的多个问题。

    CVE-2023-38199

        Coreruleset（又称为 OWASP ModSecurity 核心规则集） 3.3.4 及之前版本在某些平台上不检测多种 Content-Type 请求标头。这可能会允许攻击者通过构建的负载绕过 WAF，即 WAF 和后端应用程序之间出现 Content-Type 混淆。
        仅当 Web 应用程序依赖最后一个 Content-Type 标头时，才会发生这种情况。其他平台可能会拒绝其他 Content-Type 标头或合并存在冲突的标头，从而导致检测结果为畸形标头。

    CVE-2026-21876

        在处理具有多个部分的多部分请求时，当前规则 922110 存在一个缺陷。当链中的第一条规则在集合中迭代时（如 `MULTIPART_PART_HEADERS`），每次迭代都会覆盖捕获变量（`TX:0`、`TX:1`）。只有上次捕获的值可用于链接规则，这意味着如果后续部分具有合法的字符集，则之前部分中的恶意字符集可能会被遗漏掉。

    对于 Debian 11 bullseye，已在版本 3.3.4-1~deb11u2 中修复这些问题。

    我们建议您升级 modsecurity-crs 程序包。

    如需了解 modsecurity-crs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/modsecurity-crs

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 12 / 13 ホストには、dsa-6105 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6105-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ modsecurity-crs CVE ID CVE-2026-21876

    OWASP ModSecurity Core Rule Set のルールの 1 つが、マルチパートリクエストを不適切に解析していたことが判明しました。

    旧安定版oldstableディストリビューションbookword では、この問題はバージョン 3.3.4-1+deb12u1 で修正されています。

    安定版stableディストリビューションtrixieでは、この問題はバージョン 3.3.7-1+deb13u1 で修正されています。

    お使いの modsecurity-crs パッケージをアップグレードすることを推奨します。

    modsecurity-crs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OWASPコアルールセット(CRS)は、互換性のあるウェブアプリケーションファイアウォールで使用する汎用攻撃検出ルールのセットです。バージョン 4.22.0 および 3.3.8以前は、現在のルール922110には複数のパーツを持つマルチパートリクエストを処理する際にバグがあります。チェーンの最初のルールが「MULTIPART_PART_HEADERS」などのコレクション上で反復する場合、キャプチャ変数 (TX:0、TX:1) は各反復ごとに上書きされます。最後にキャプチャされた値のみが連鎖ルールで利用可能になります。これにより、後のパートに正当な charset がある場合、前のパートに含まれる悪意のある charset が見逃される可能性があります。バージョン 4.22.0 と 3.3.8 でこの問題は修正されています。(CVE-2026-21876)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

したがって、ALAS2023-2026-1399 のアドバイザリに記載されている脆弱性の影響を受けます。

    OWASP コアルールセット (CRS) は、互換性のあるウェブアプリケーションのファイアウォールで使用されるための、汎用攻撃検出ルールのセットです。バージョン 4.22.0 および 3.3.8より前では、複数のパートがあるマルチパートのリクエストを処理する際に、現在のルール 922110 にバグがあります。チェーンの最初のルールが「MULTIPART_PART_HEADERS」などのコレクション上で反復する場合、キャプチャ変数 (TX:0、TX:1) は各反復ごとに上書きされます。最後にキャプチャされた値のみが連鎖ルールで利用可能になります。これにより、後のパートに正当な charset がある場合、前のパートに含まれる悪意のある charset が見逃される可能性があります。バージョン 4.22.0 および 3.3.8 では、この問題のパッチが適用されます。CVE-2026-21876

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4488 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4488-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 2 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : modsecurity-crs バージョン : 3.3.4-1~deb11u2 CVE ID : CVE-2023-38199 CVE-2026-21876 Debian バグ : 1041109 1125084

    ModSecurity で使用する汎用攻撃検知ルールのセットである modsecurity-crs における複数の問題が修正されました。

    CVE-2023-38199

        - 3.3.4 までの Coreruleset (別名 OWASP ModSecurity コアルールセット) は、一部のプラットフォームで複数の Content-Type リクエストヘッダーを検出しません。これにより、攻撃者が細工されたペイロードで WAF をバイパス (別名 WAF とバックエンドアプリケーション間の Content-Type の取り違え) する可能性があります。
        これは、ウェブアプリケーションが最後の Content-Type ヘッダーのみに依存している場合に発生します。他のプラットフォームが追加の Content-Type ヘッダーを拒否したり、競合するヘッダーをマージしたりすると、無効な形式のヘッダーとして検出される可能性があります。

    CVE-2026-21876

        現在のルール 922110 では、複数のパートを含むマルチパートリクエストを処理する際にバグがあります。チェーンの最初のルールが「MULTIPART_PART_HEADERS」などのコレクション上で反復する場合、キャプチャ変数 (TX:0、TX:1) は各反復ごとに上書きされます。最後にキャプチャされた値のみが連鎖ルールで利用可能になります。これにより、後のパートに正当な charset がある場合、前のパートに含まれる悪意のある charset が見逃される可能性があります。

    Debian 11 bullseye においては、これらの問題はバージョン 3.3.4-1~deb11u2 で修正されました。

    お使いの modsecurity-crs パッケージをアップグレードすることを推奨します。

    modsecurity-crs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Debian 12 / 13 host has a package installed that is affected by a vulnerability as referenced in the dsa-6105 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6105-1                   security@debian.org     https://www.debian.org/security/                       Moritz Muehlenhoff     January 21, 2026                      https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : modsecurity-crs     CVE ID         : CVE-2026-21876

    It was discovered that one of the rules in the OWASP ModSecurity Core     Rule Set parsed some multipart requests incorrectly.

    For the oldstable distribution (bookworm), this problem has been fixed     in version 3.3.4-1+deb12u1.

    For the stable distribution (trixie), this problem has been fixed in     version 3.3.7-1+deb13u1.

    We recommend that you upgrade your modsecurity-crs packages.

    For the detailed security status of modsecurity-crs please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4488 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4488-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                         Tobias Frost     February 22, 2026                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : modsecurity-crs     Version        : 3.3.4-1~deb11u2     CVE ID         : CVE-2023-38199 CVE-2026-21876     Debian Bug     : 1041109 1125084

    Multiple issues have been fixed in modsecurity-crs, a set of generic     attack detection rules for use with ModSecurity.

    CVE-2023-38199

        Coreruleset (aka OWASP ModSecurity Core Rule Set) through 3.3.4 does not         detect multiple Content-Type request headers on some platforms. This         might allow attackers to bypass a WAF with a crafted payload, aka         Content-Type confusion between the WAF and the backend application.
        This occurs when the web application relies on only the last         Content-Type header. Other platforms may reject the additional         Content-Type header or merge conflicting headers, leading to detection         as a malformed header.

    CVE-2026-21876

        The current rule 922110 has a bug when processing multipart requests         with multiple parts. When the first rule in a chain iterates over a         collection (like `MULTIPART_PART_HEADERS`), the capture variables         (`TX:0`, `TX:1`) get overwritten with each iteration. Only the last         captured value is available to the chained rule, which means malicious         charsets in earlier parts can be missed if a later part has a legitimate         charset.

    For Debian 11 bullseye, these problems have been fixed in version     3.3.4-1~deb11u2.

    We recommend that you upgrade your modsecurity-crs packages.

    For the detailed security status of modsecurity-crs please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/modsecurity-crs

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The OWASP core rule set (CRS) is a set of generic attack detection rules for use with compatible web     application firewalls. Prior to versions 4.22.0 and 3.3.8, the current rule 922110 has a bug when     processing multipart requests with multiple parts. When the first rule in a chain iterates over a     collection (like `MULTIPART_PART_HEADERS`), the capture variables (`TX:0`, `TX:1`) get overwritten with     each iteration. Only the last captured value is available to the chained rule, which means malicious     charsets in earlier parts can be missed if a later part has a legitimate charset. Versions 4.22.0 and     3.3.8 patch the issue. (CVE-2026-21876)

Note that Nessus relies on the presence of the package as reported by the vendor.

It is, therefore, affected by a vulnerability as referenced in the ALAS2023-2026-1399 advisory.

    The OWASP core rule set (CRS) is a set of generic attack detection rules for use with compatible web     application firewalls. Prior to versions 4.22.0 and 3.3.8, the current rule 922110 has a bug when     processing multipart requests with multiple parts. When the first rule in a chain iterates over a     collection (like `MULTIPART_PART_HEADERS`), the capture variables (`TX:0`, `TX:1`) get overwritten with     each iteration. Only the last captured value is available to the chained rule, which means malicious     charsets in earlier parts can be missed if a later part has a legitimate charset. Versions 4.22.0 and     3.3.8 patch the issue. (CVE-2026-21876)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
294903	Debian dsa-6105modsecurity-crs - 安全性更新	Nessus	Debian Local Security Checks	2026/1/21	2026/2/24	medium
294903	Debian dsa-6105modsecurity-crs - 安全更新	Nessus	Debian Local Security Checks	2026/1/21	2026/2/24	medium
282487	Linux Distros 未修補的弱點：CVE-2026-21876	Nessus	Misc.	2026/1/8	2026/4/29	medium
298074	Amazon Linux 2023mod_security_crs (ALAS2023-2026-1399)	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/2/24	medium
282487	Linux Distros 未修补的漏洞：CVE-2026-21876	Nessus	Misc.	2026/1/8	2026/4/29	medium
298074	Amazon Linux 2023mod_security_crs (ALAS2023-2026-1399)	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/2/24	medium
299744	Debian dla-4488：modsecurity-crs - 安全性更新	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
299744	Debian dla-4488 : modsecurity-crs - 安全更新	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
294903	Debian dsa-6105 : modsecurity-crs - セキュリティ更新	Nessus	Debian Local Security Checks	2026/1/21	2026/2/24	medium
282487	Linux Distros のパッチ未適用の脆弱性: CVE-2026-21876	Nessus	Misc.	2026/1/8	2026/4/29	medium
298074	Amazon Linux 2023mod_security_crsALAS2023-2026-1399	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/2/24	medium
299744	Debian dla-4488 : modsecurity-crs - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
294903	Debian dsa-6105 : modsecurity-crs - security update	Nessus	Debian Local Security Checks	2026/1/21	2026/2/24	medium
299744	Debian dla-4488 : modsecurity-crs - security update	Nessus	Debian Local Security Checks	2026/2/22	2026/2/22	critical
282487	Linux Distros Unpatched Vulnerability : CVE-2026-21876	Nessus	Misc.	2026/1/8	2026/4/29	medium
298074	Amazon Linux 2023 : mod_security_crs (ALAS2023-2026-1399)	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/2/24	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

critical

critical

medium

medium

medium

critical

medium

critical

medium

medium