Mesajımı güncelledim, bir örnek ekledim.
Temel amaç, karşıdaki kişinin oturumunu kullanarak siteye işlem yaptırabilmektir.
O zaman false positive bir değerlendirmedir büyük ihtimal. Yinede incelememi isterseniz özelden çıktıları iletebilirsiniz.



Yine madem bu kadar yazdım daha sonra arama sonuçlarında denk gelen olursa diye bir de çözüm yazayım.
CSRF token oluşturarak ve CSRF tokenlerini karşılaştırarak çözüme ulaşabilirsiniz. Tarayıcılar SOP(Same Origin Policy) kapsamında session bilgilerini direkt olarak çekilmesine izin vermezler.
Yani aslında adam sizden session bilginizi alamaz ama sizin session bilginiz ile işlem yaptırabilir. Düzgün bir şekilde konfigüre edilirse CSRF tokenide alınamaz.
Eğer site php ise input içerisinde value değeri olarak

<?php echo csrf_generate(); ?>

alın ve daha sonra

if(csrf_check($this->input->post('input name')))

şeklinde bir karşılaştırma yapın. Eğer token karşılaştırması sonucu 1 dönmezse işlem yaptırmayın.