Fix CSRF bug