Quote do theymos:
2014

e eu pensando que havia descoberto algo novo

obrigado pela explicação!
De boa, eu mesmo já fui mais ignorante ainda...
Uma vez eu precisei colar algo daqui pro Perplexity, sem querer acabei copiando coisa a mais e esse "sesc" que o TryNinja falou (na verdade não tenho certeza se foi isso outra coisa, acabou indo junto.
Só percebi porque ela mesmo me orientou, ao final da resposta, à invalidar minha cessão (logout) porque eu havia passado informações sensíveis.
Enfim, coisa do SMF, acho que um parâmetro como esse jamais deveria ir de forma limpa na URL.