CSRF fixes