Armazenamentos de sessão diferentes de `ActionDispatch::Session::CookieStore` (incluindo `CacheStore`, `MemCacheStore` e armazenamentos de terceiros baseados em `AbstractStore`, `AbstractSecureStore` ou mixins de sessão) gravam cookies de sessão sem o atributo `SameSite`. Isso ocorre independentemente da configuração `config.action dispatch.cookies same site protection`. Em navegadores que não tratam a ausência do atributo como `SameSite=Lax`, solicitações cross-site podem transportar o cookie de sessão. Isso pode levar a falsificação de solicitação cross-site (CSRF) contra ações que não verificam um token de autenticidade, como as de aplicações apenas de API. O problema afeta aplicações que utilizam um armazenamento de sessão diferente de `CookieStore` e não passam a opção `same site:` para `config.session store`.