Es importante tener en cuenta que si se agrega un parámetro run, no debe utilizarse si la cookie same-site está configurada en None (o Disabled y el navegador define None como predeterminado).
Si same-site es none, un usuario podría entrar en otro sitio y realizar una solicitud HTTP GET, de manera similar a como se explota CSRF. Aunque esto no sería una vulnerabilidad CSRF en sí mismo, podrían ejecutar instrucciones muy costosas en el explorador de datos.
La política de cookies same-site es relativamente nueva, pero los principales navegadores ya la soportan desde hace tiempo. Chrome la configura por defecto en Lax, y Discourse también (si no recuerdo mal), por lo que no debería ser un problema en la mayoría de los casos.