hm... ich habe ja auch CSRF-schutz in battie, der funktioniert ohne JS. wenn ich das richtig sehe, wird da auch ohne JS eine art token ins form geschrieben, deswegen verstehe ich nicht, wieso es ohne JS nicht funktioniert.

vielleicht sollten wir einen hinweis einblenden, dass es z.zt. nur mit javascript geht, und wir warten, ob das problem seitens foswiki noch gefixt wird.
besser CSRF-schutz. zum speichern kann ich ja javascript kurz anschalten.

Quote

Die Ironie ist natürlich, dass jemand, der sein JavaScript deaktiviert hat, vor CSRF-Angriffen gerade sicher wäre

nein, CSRF geht auch ohne javascript.