È importante notare che se viene aggiunto un parametro run, non dovrebbe essere utilizzato se il cookie same-site è impostato su None (o Disabled e il browser definisce None come valore predefinito).
Se same-site è none, un utente potrebbe visitare un altro sito e inviare una richiesta HTTP GET, sfruttando la situazione in modo simile a come avviene per le vulnerabilità CSRF. Anche se non si tratterebbe tecnicamente di una vulnerabilità CSRF, potrebbe comunque eseguire istruzioni particolarmente costose nell’esploratore dei dati.
La politica dei cookie same-site è relativamente recente, ma i principali browser la supportano già da tempo. Chrome la imposta di default su Lax, e lo fa anche Discourse (se non sbaglio), quindi nella maggior parte dei casi non dovrebbe rappresentare un problema.