Quem deixava uma tela do painel aberta e voltava mais tarde podia perder o que tinha digitado: a sessão tinha mudado, o token CSRF não valia mais e o salvamento voltava com erro 403.
Como funciona
O servidor passou a responder o token inválido com um código próprio, CSRF_INVALID_OR_EXPIRED. O JavaScript global reconhece essa resposta, pede um token novo em _gestor-csrf-token e reenvia a mesma requisição. Isso cobre os três caminhos que o sistema usa: fetch, jQuery.ajax e XMLHttpRequest.
Sem confundir com falta de permissão
Um 403 que não traz essa marca não é CSRF, e não é repetido: recusa de acesso continua sendo recusa.
Quando a aba volta a ficar visível, o token é verificado antes que o usuário clique em alguma coisa.
Origem: Core · req-175 · BATCH-180 · release 2.10.13