csrf bug fix