Что такое CSRF-атака и как она работает?

CSRF (Cross-Site Request Forgery) — атака, при которой вредоносный сайт заставляет браузер пользователя отправить запрос на другой сайт, где пользователь аутентифицирован. Браузер автоматически подставляет cookies, и сервер считает запрос легитимным. Отличие от XSS: при CSRF атакующий не читает ответ, а выполняет действие (перевод денег, смена пароля) от имени жертвы.