Considere que uma aplicação web vulnerável a CSRF (cross site request forgery) processe requisições críticas de transferência financeira por meio de requisições HTTP do tipo POST. Nessa situação, é correto afirmar que, se um atacante induzir a vítima autenticada a submeter um formulário forjado oculto hospedado em um domínio malicioso externo, o navegador do usuário incluirá automaticamente os cookies de sessão válidos na requisição direcionada ao servidor alvo.