Да, всё так, не просто сессию, а все куки, что прилетели, заменить, т.е. имя, время и т.д. Читай "XSS для новичков"

https://forum.antichat.ru/thread20140.html