사용자가 은행 사이트에 로그인한 상태에서 공격자 페이지를 열었다. 공격자 페이지가 사용자의 브라우저로 은행의 송금 요청을 자동 전송했고, 은행은 세션 쿠키만 확인한 채 요청별 검증 토큰 없이 처리했다. 취약점은?