Всё возможно.В куки храниться индетификатор сессии,если где-то взять индетификатор с залогиненой сессией и подставить его в куки то проверка будет пройдена.