Dieser Link öffnet ohne rel. Die Zielseite kann window.opener erreichen.
Konsole:
Hinweis: öffne den Link, wechsle zum neuen Tab, und klicke dort auf den Button "Attacke ausführen". Dann siehst du, dass das ursprüngliche Fenster (dieses) eine Alert-Box bekommt.