É importante notar que, se um parâmetro run for adicionado, ele não deve ser utilizado quando o cookie same-site estiver definido como None (ou Disabled e o navegador definir None como padrão).
Se o same-site for none, um usuário poderia acessar outro site e fazer uma solicitação HTTP GET, de maneira semelhante à exploração de CSRF. Embora isso não constitua uma vulnerabilidade de CSRF em si, seria possível executar instruções realmente custosas no explorador de dados.
A política de cookie same-site é relativamente nova, mas os principais navegadores já a suportam há algum tempo. O Chrome usa Lax como padrão, e o Discourse também (se não me engano), então isso não deve ser um problema na maioria dos casos.