Get no es igual a URL, lo que hace GET es un QUERY_STRING
Un CSRF via GET es casi siempre mas peligroso que un via POST, ya que un CSRF via POST es mas limitado a explotar que uno via GET, si fuera GET les dejas un comentario y si los comentarios usan BBcode puedes dejarlo asi Y al tratar de visualizar la imagen estaría enviando la peticion GET.

Los CSRF via POST son un poco muy complicado y a la vez simple, por ejemplo no es necesario que el vaya a la pagina que quiero para que ejecute el CSRF, porque si encuentro un XSS permanente puedo ejecutar un inframe y activarse al tratar de visualizarlo.

Eso no es CSRF de formularios, porque no existe CSRF de formulario, es un CSRF via POST.

fotolog es una web conocida y no creo que limiten a los usuarios a usar ‭‬javascript para modificar sus webs, por eso hize el post anterior.

No estoy muy seguro como funciona  fotolog porque no lo uso pero tengo varias dudas acerca de XSRF/CSRF, aver para explotarlo es necesario que la vitcima vaya a la direccion del formulario o que ustedes usen un inframe para que cuando entre al blog se ejecute el CSRF, ps como no uso fotolog ps e gustaria que den un poco mas de info de la posible explotacion.