Важно отметить, что если добавлен параметр run, его не следует использовать, если cookie с атрибутом same-site установлен в значение None (или Disabled, а браузер по умолчанию определяет None как значение по умолчанию).
Если same-site равен none, пользователь может перейти на другой сайт и отправить HTTP-запрос GET, аналогично тому, как эксплуатируется CSRF. Хотя это не является уязвимостью CSRF как таковой, злоумышленник может выполнить очень ресурсоёмкие операции в исследователе данных.
Политика cookie same-site относительно нова, но основные браузеры уже поддерживают её в течение некоторого времени. По умолчанию Chrome использует значение Lax, и Discourse тоже (если я не ошибаюсь), поэтому в большинстве случаев проблем быть не должно.