CVE:CVE-2022-39304
CNNVD:CNNVD-202212-3636
ghinstallation是Bradley Falzon个人开发者的一个库。作为安装工作流进行身份验证。
ghinstallation 2.0.0之前版本存在安全漏洞，该漏洞源于当刷新安装令牌的请求失败时，将返回HTTP请求和响应以供调试，该请求包含应用程序的承载JWT并返回给客户端，这个令牌的寿命很短。
solution:Upgrade ghinstallation_project ghinstallation to a higher version than 2.0.0,and avoid the version (,2.0.0)