Tener el token en sessionStorage no puede ser peligroso, un atacante no podría usarlo para suplantar a nuestros usuarios ?

Ya que el

se borra al cerrar el navegador o la pestaña, sería más seguro tenerlo ahí que en el .

Igualmente depende mucho de qué tanta seguridad requieres. Si es una página de un banco, además de que la sesión tiene que ser puramente a través de las cookies de sesión, esta además debe tener un timeout.

Pero por ejemplo los correos y las redes sociales recuerdan tu sesión abierta indefinidamente.

Si un hacker tiene acceso a tu máquina físicamente podría robarte tus sesiones abiertas. Es un riesgo. Pero por eso tenemos que tener cuidado de no iniciar sesión en cualquier máquina, y si lo hacemos, asegurarnos de cerrarla.