Wenn ich das bei foswiki.org richtig sehe, haben wir zwei Möglichkeiten:

• Auf den CSRF-Schutz verzichten oder
• die Bearbeiter zu JavaScript zwingen.

Die Ironie ist natürlich, dass jemand, der sein JavaScript deaktiviert hat, vor CSRF-Angriffen gerade sicher wäre. Beide Varianten finde ich nicht toll. Ich gehöre auch zu denen, die JavaScript erst einmal grundsätzlich deaktivieren.
Wenn wir den CSRF-Schutz drin lassen, sollte natürlich ein Hinweis kommen, da hast du Recht. Da müsste das Template geändert werden.