Poniższe cechy charakteryzują atak CSRF: Dotyczy serwisu wymagającego zalogowania lub innego ograniczenia np. dostępu tylko z sieci wewnętrznej lub określonej puli adresów IP. Wykorzystuje zaufanie serwisu do tożsamości zalogowanego użytkownika. Podstępem nakłania przeglądarkę internetową do wysłania żądania HTTP do serwisu. Dotyczy żądania zmieniającego stan konta użytkownika lub wykonującego w jego imieniu operację.
Szczególnie podatne na ten atak są aplikacje webowe, które wykonują żądania przesłane przez zalogowanych użytkowników bez autoryzacji konkretnej akcji. Osoba uwierzytelniona na podstawie ciasteczka zapisanego w przeglądarce może nieświadomie wysłać żądanie HTTP do serwera, który jej ufa i wykona niepożądaną akcję w jej imieniu.
Na ataki CSRF narażeni byli użytkownicy serwisów takich jak DiggHow to defeat digg.com, Amazon.comChris Shiflett, My Amazon Anniversary czy Google AdSense.
Przeciwdziałanie Zarówno użytkownicy, jak i twórcy serwisów internetowych mogą aktywnie zapobiegać atakom typu CSRF.