Идентификатор сеанса обычно является безопасным сгенерированным токеном, срок действия которого истекает через некоторое время.
Так что да, если вы получите токен от другого пользователя, вы можете выдать себя за него.
На самом деле угадать этот токен гораздо сложнее, чем угадать пароль пользователя. И у вас есть только очень короткий период времени для этого, после которого токен истекает.