JWT token jako session cookie

V nedávné době se objevilo několik projektů, kde zadáním byl test webové stránky, která na pozadí provolávala API endpointy a k autentizaci byly použity JWT tokeny. Ve výsledné zprávě bylo reportováno několik zranitelností, které vyplývají ze samotné podstaty návrhu tokenů a donutilo mě to k zamyšlení. Jsou naše výtky oprávněné? Jaké bezpečnostní výzvy plynou z použití JWT tokenů? K jakému využití jsou vůbec vhodné?