Спасибо, наконец-то доступно объяснили! Был уверен, что CSRF — это какой-то сложный хакерский трюк, а оказывается всё про то, как сайты доверяют браузеру с куками. Теперь понятно, что без токенов и проверки заголовков сайт реально может сломаться из-за таких простых запросов с других ресурсов. Буду пробовать делать защиту, чтобы лишние проблемы не возникали.