Es ist wichtig zu erwähnen, dass der Parameter run nicht verwendet werden sollte, wenn das Cookie same-site auf None (oder Disabled, wobei der Browser None als Standard definiert) gesetzt ist.
Wenn same-site auf none steht, könnte eine andere Website eine HTTP-GET-Anfrage stellen, ähnlich wie bei der Ausnutzung von CSRF. Zwar handelt es sich dabei nicht um eine echte CSRF-Sicherheitslücke, aber es könnten sehr rechenintensive Anweisungen im Data Explorer ausgeführt werden.
Die Cookie-Richtlinie same-site ist relativ neu, wird jedoch von den wichtigsten Browsern seit einiger Zeit unterstützt. Chrome verwendet standardmäßig Lax, und Discourse ebenfalls (sofern ich mich nicht irre), sodass dies in den meisten Fällen kein Problem darstellen sollte.