Вопрос о защите от CSRF

В настоящее время я нахожусь в процессе внедрения защиты CSRF в свою структуру (PHP).

Однако мне интересно:

Разве злоумышленник не сможет загрузить мою страницу в (скрытом) iframe (получив токен) и изменить некоторые данные с помощью JavaScript?

И после этого отправить form?