Odesílat formuláře jsou i přes uvedenou hlášku. Neuvádíte o jaký extend se jedná, nebo zda je to nějaká Vaše tvorba.
Pokud je to Vaše vlastní dílo, pak někde máte chybu, že se stránka nezobrazí.
Hlášku o neplatném tokenu lze eliminovat dle dokumentace
_xsrfToken vložením do kódu ve formuláři
$output .= '<input type="hidden" name="_security_token" value="'. _xsrfToken() .'" />';