En fait, ce n'est pas vraiment un bug. Ca peut être corrigé très facilement.
Dans ton template cart.html, trouve :
{token_url path="/cart/delete/$ITEM_ID"}
et remplace le par :
{token_url path="/cart/delete/$ITEM_ID" success_url={url path='/cart'}}
Ensuite trouve :
<form action="{token_url path="/cart/update"}" class="form-inline" method="post">
et remplace ça par :
<form action="{token_url path="/cart/update"}" class="form-inline" method="post">
<input type="hidden" name="success_url" value="{url path='/cart'}">
Après une suppression ou une modification de quantité, on fait une redirection sur la page panier, et plus de token invalide !