Когда вы заходите на сайт злоумышленника, он отправляет запрос с указанием действий на другом сайте и тот сайт их выполняет потому что думает, что это вы отправили этот запрос.
Технически, запрос отправляет ваш браузер с куки сайта к которому делается запрос. Сайт (vk например) смотрит куки, видит что это вы и выполняет запрос. Но всё это происходит в фоне и вы разумеется, ни о чём не догадываетесь.
