<a>/<area> могут раскрывать URL-адреса страниц + креды (источник, путь, запрос, фрагмент post-click) с помощью атрибута href="#" с атрибутом ping, указывающим на другое место.Работает в 🌐 и 🌐 (в Firefox атрибут
ping отключён по умолчанию).При клике браузер отправляет POST-запрос, в заголовке
Ping-To указывается URL. referrer-policy игнорируется — доставку ограничивает только директива connect-src в CSP.Если страница загружена по HTTP или эндпоинт
ping находится в том же origin, то ещё отправляется заголовок Ping-From с полным URL (включая фрагмент pre-click).📌 Пример PoC