Bagisto 0.1.5 allows CSRF under /admin URIs.

Source