crlf said:
↑
Скорее всего кука HttpOnly, они "недоступны" JS-y. Так же, возможно, мешает SameSite, так как, по сути, юзается CSRF 2 XSS, и этот момент должен решиться дополнительным запросом с трастового ориджина. Более подробно про параметры кук можно прочитать
тут
, а про SameSite, в частности,
тут
.