CSRF

Межсайтовая подделка запроса (англ. Cross-Site Request Forgery, сокращенно CSRF) — атака, при которой чужой сайт заставляет браузер пользователя отправить запрос туда, где пользователь уже вошел в систему. Браузер сам прикладывает данные входа, и запрос выглядит законным. Пример: человек вошел в интернет-банк, потом открыл зараженную страницу, и та от его имени отправляет запрос на перевод денег. Защищаются специальными токенами в формах, настройками cookie и проверкой источника запроса. Современные фреймворки включают защиту от CSRF по умолчанию, но ее легко случайно отключить. Защиту от этой атаки подробно описывают руководства OWASP.