CSRFは、宅配便の受取人確認に例えられます。
配達員が「この家から出された依頼書だから本人の依頼だろう」と判断し、依頼書を書いた人物を確認しなければ、第三者が偽の依頼書を送り込めます。
Webでも同じことが起こります。
サーバーがセッションCookieだけを確認している場合、次の2つを区別できないことがあります。
利用者が正規画面から送信したリクエスト
悪意ある別サイトが利用者のブラウザに送信させたリクエスト
CSRFは、利用者のブラウザを経由して後者を実行させます。
正式には、CSRFは「利用者が認証済みであるというサーバーとの信頼関係を悪用し、利用者が意図していないリクエストを送信させる攻撃」です。OWASPやMDNも、認証済みブラウザに望まない操作を実行させる攻撃として説明しています。