تقوم مخازن الجلسات بخلاف `ActionDispatch::Session::CookieStore` (بما في ذلك `CacheStore` و `MemCacheStore` والمخازن الخارجية المبنية على `AbstractStore` أو `AbstractSecureStore` أو إضافات الجلسة) بكتابة ملفات تعريف ارتباط الجلسة بدون سمة `SameSite`. يحدث هذا بغض النظر عن إعداد `config.action dispatch.cookies same site protection`. في المتصفحات التي لا تعامل السمة المفقودة على أنها `SameSite=Lax` قد تحمل الطلبات عبر المواقع ملف تعريف ارتباط الجلسة. قد يؤدي ذلك إلى تزوير الطلبات عبر المواقع (CSRF) ضد الإجراءات التي لا تتحقق من رمز المصادقة، مثل تلك الموجودة في التطبيقات المخصصة لواجهة برمجة التطبيقات (API) فقط. تتأثر التطبيقات عندما تستخدم مخزن جلسة آخر غير `CookieStore` ولا تمرر خيار `same site:` إلى `config.session store`.