XSS und CSRF durcheinander gebracht?

Auf der ersten Seite im Abschnitt der XSS Lücke steht:

> Dafür muss lediglich dafür gesorgt sein, dass der Nutzer zeitgleich eine vom Angreifer kontrollierte Webseite aufruft.

Das hört sich für mich eher nach CSRF.