Правильно ли я понимаю, что, если на сайте никакие данные не изменяются гетом или постом и уязвимости к XSS нет, то уязвимости к CSRF нет, так как кросс-сайт аякс запросы запрещенеы политикой безопасности браузера? Конечно, при условии, что пользователь не использует экзотический браузер или не отключал настройки безопасности.
CSRF не обязатель но AJAX-запрос. Может быть просто форма на любом домене отправляющая данные на ваш скрипт. Но если, как вы говорите, никакие данные не изменяются, то и переживать не стоит. В таком случае почему сайт не статичен? Админка тоже может быть уязвимой к CSRF.
Средний
Средний
