{"id":"CVE-2026-0266","revision":"c0d9e3ed0eec425a9a4814a6f838e67a","records":[{"revision":"c0d9e3ed0eec425a9a4814a6f838e67a","observedAt":"2026-10-23T15:48:27.903+00:00","statement":{"source":"cve-program","id":"CVE-2026-0266","aliases":[],"title":"PAN-OS: Stored Cross-Site Scripting (XSS) Vulnerability in the Web Interface","description":"A cross-site scripting (XSS) vulnerability in Palo Alto Networks PAN-OS® software enables a malicious authenticated administrator to store a JavaScript payload using the web interface. \n\nThis issue is applicable to PAN-OS software on PA-Series and VM-Series firewalls and on Panorama (virtual and M-Series).\n\nCloud NGFW and Prisma® Access are not affected by this vulnerability.","state":0,"publishedAt":"2026-06-10T20:30:04.127+00:00","modifiedAt":"2026-10-15T01:11:34.597+00:00","affected":[{"ecosystem":"Vendor product","name":"Cloud NGFW","ranges":[],"versions":[],"rawVersionEvidence":"{\n \"vendor\": \"Palo Alto Networks\",\n \"product\": \"Cloud NGFW\",\n \"versions\": [\n {\n \"status\": \"unaffected\",\n \"version\": \"All\",\n \"versionType\": \"custom\"\n }\n ],\n \"defaultStatus\": \"unaffected\"\n }"},{"ecosystem":"Vendor product","name":"PAN-OS","ranges":[],"versions":[],"rawVersionEvidence":"{\n \"vendor\": \"Palo Alto Networks\",\n \"product\": \"PAN-OS\",\n \"versions\": [\n {\n \"status\": \"affected\",\n \"version\": \"12.1.0\",\n \"lessThan\": \"12.1.5\",\n \"changes\": [\n {\n \"at\": \"12.1.5\",\n \"status\": \"unaffected\"\n }\n ],\n \"versionType\": \"custom\"\n },\n {\n \"status\": \"affected\",\n \"version\": \"11.2.0\",\n \"lessThan\": \"11.2.11\",\n \"changes\": [\n {\n \"at\": \"11.2.11\",\n \"status\": \"unaffected\"\n }\n ],\n \"versionType\": \"custom\"\n },\n {\n \"status\": \"affected\",\n \"version\": \"11.1.0\",\n \"lessThan\": \"11.1.14\",\n \"changes\": [\n {\n \"at\": \"11.1.14\",\n \"status\": \"unaffected\"\n }\n ],\n \"versionType\": \"custom\"\n },\n {\n \"status\": \"affected\",\n \"version\": \"10.2.0\",\n \"versionType\": \"custom\"\n }\n ],\n \"defaultStatus\": \"unaffected\",\n \"cpes\": [\n \"cpe:2.3:o:palo_alto_networks:pan-os:12.1.4:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:12.1.3:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:12.1.2:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.10:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.9:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.8:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.7:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.6:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.5:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.4:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.3:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.2:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.1:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.2.0:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.13:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.12:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.11:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.10:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.9:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.8:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.6:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.5:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.4:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.3:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.2:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.1:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:11.1.0:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.18:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.17:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.16:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.15:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.14:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.13:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.12:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.11:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.10:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.9:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.8:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.7:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.6:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.5:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.4:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.3:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.2:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.1:*:*:*:*:*:*:*\",\n \"cpe:2.3:o:palo_alto_networks:pan-os:10.2.0:*:*:*:*:*:*:*\"\n ]\n }"},{"ecosystem":"Vendor product","name":"Prisma Access","ranges":[],"versions":[],"rawVersionEvidence":"{\n \"vendor\": \"Palo Alto Networks\",\n \"product\": \"Prisma Access\",\n \"versions\": [\n {\n \"status\": \"unaffected\",\n \"version\": \"All\",\n \"versionType\": \"custom\"\n }\n ],\n \"defaultStatus\": \"unaffected\"\n }"}],"metrics":[{"system":"CVSS 4.0","vector":"CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/AU:N/R:U/V:D/RE:M/U:Amber","score":1.1,"severity":"LOW"},{"system":"CVSS 4.0","vector":"CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/AU:N/R:U/V:D/RE:M/U:Amber","score":0.4,"severity":"LOW"}],"references":["https://security.paloaltonetworks.com/CVE-2026-0266"],"sourceUrl":"https://www.cve.org/CVERecord?id=CVE-2026-0266","license":"CVE Program Terms of Use","key":"cve-program:CVE-2026-0266","identifiers":["CVE-2026-0266"]},"retained":false,"historicalAffected":[]}],"coverage":[]}