Helt klart min miss, drog förhastade slutsatser när det fungerade som ni förväntar er i IE7 med referer påslaget men inte med Firefox referer avslaget.

Lite oroväckande att luckan funnits så länge och att ingen fix byggts in i webbläsarna ännu.

Läser man kommentarerna i bugzilla-buggen som är länkad så ser man ju att det förts en del diskutioner och att det å ena sidan ganska lätt går att täppa till hålet, men då bryter man mot någon standard och det vill man inte heller göra. Så man har tydligen gått på linjen att följa standard istf att täppa till "hålet" tolkar jag det som.

Fast då kunde det väl vara en option kan man tycka...

Standarder ska bara följas om de bidrar till produkten, Annars ska man högaktningsfullt strunta i det. Finns ingen anledning att följa en standard om det försämrar säkerheten.

Som tidigare sagt bygger inte detta på någon referer header utan sökning i browsing-historiken via ECMAscript. Och ja, detta är en gammal "bug" som nyligen fått en intressant användning, viket fått utvecklarna att höja ögonbrynen.