Le CSRF (Cross-Site Request Forgery) pousse le navigateur d'un utilisateur connecté à envoyer, à son insu, une requête vers un site où il est authentifié, car les cookies sont joints automatiquement. On s'en protège par des jetons anti-CSRF et l'attribut SameSite des cookies.
Exemple
Une page piégée soumet un formulaire de virement vers la banque de la victime.