Si bien todo el método de ataques XSS y CSRF es totalmente diferente, la principal diferencia es que:
XSS: ejecuta un script en el navegador
CSRF: envía una solicitud (HTTP) desde el navegador.
¿Es correcto (una respuesta con Sí o No será suficiente)?
Gracias
Exactamente. El XSS (Cross Site Scripting) intenta ejecutar de alguna manera un script en el navegador de la víctima. Puede reflejarse, almacenarse, etc.
El CSRF (falsificación de solicitud de sitios cruzados) intenta utilizar una cookie / sesión ya registrada de la víctima para realizar cualquier acción en una web.
Referencias: