в админ панели с редактирования заказа обращается по curl к апи расположенному на стороне сайтаКод в студию, возможно вы что-то не так поняли или неверно изложили мысль.
там в свою очередь выбирает товары по сессионым кукиСессионным куки кого? Админа? Пользователя?
ведь куки во первых не должны быть доступны с другого браузера тем более с другого устройства и кроме того они ведь чистятся кто то знает как вообще устроена логика в этом плане?Куки это не просто строка, это набор значений, один из которых наверняка генерируется из, например, логина и хэша пароля с солью, и будет для любого браузера одинаковым при логине.