Il est important de noter que si un paramètre run est ajouté, il ne doit pas être utilisé si le cookie same-site est défini sur None (ou Disabled et que le navigateur définit None comme valeur par défaut).
Si same-site est none, un autre site pourrait être consulté et effectuer une requête HTTP GET, de la même manière que l’exploitation d’une faille CSRF. Bien qu’il ne s’agisse pas d’une vulnérabilité CSRF à proprement parler, cela permettrait d’exécuter des instructions très coûteuses dans l’explorateur de données.
La politique de cookie same-site est relativement nouvelle, mais les principaux navigateurs la prennent déjà en charge depuis un certain temps. Chrome utilise Lax par défaut, et Discourse aussi (si je ne me trompe pas), donc cela ne devrait poser aucun problème dans la plupart des cas.