WebSocket-рукостискання не звіряє Origin, а браузер сам докладає куки. Відкрий сокет із чужої сторінки - і приватний потік жертви поллється до тебе. Перемкни на «Виправлено», де Origin звіряють на рукостисканні