Скорее всего кука HttpOnly, они "недоступны" JS-y. Так же, возможно, мешает SameSite, так как, по сути, юзается CSRF 2 XSS, и этот момент должен решиться дополнительным запросом с трастового ориджина. Более подробно про параметры кук можно прочитать тут, а про SameSite, в частности, тут.