Le CSRF (falsification de requête intersites) consiste à faire exécuter, à l'insu d'un utilisateur authentifié, une action sur un site où il est connecté (changer un mot de passe, effectuer un virement…). L'attaque exploite le fait que le navigateur envoie automatiquement les cookies de session.
Protection : jetons anti-CSRF uniques par formulaire, attribut SameSite sur les cookies et vérification de l'origine des requêtes.
Voir aussi : XSS.