WebアプリケーションがセッションIDをURLのクエリパラメータに含めている場合（例: ?session_id=xyz）、最も懸念されるリスクはどれか。

ユーザーが外部サイトへのリンクをクリックすると、RefererヘッダーにセッションID付きのURLが含まれて送信され、外部サイトの管理者にセッションIDが漏洩するリスクがある。