Por ahí metido tienes un problemilla de SQL Injection (
http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL) por el cual podrían suplantar la identidad de otro usuario sin mayores problemas.
Por otro lado te recomendaría que estudies algún sistema de sesiones algo más robusto. Yo siempre recuerdo la frase que dice: "Si tu mecanismo de sesiones consiste en el uso de únicamente session_start(), entonces eres vulnerable". Y vaya si resulta cierto... el único inconveniente que tiene un posible atacante en suplantar la identidad de otra persona es obtener el session id almacenado en una cookie del navegador de esta "víctima" (y ni hablar si propagas por GET). Y existen numerosas formas de lograrlo... una vulnerabilidad XSS (
http://www.formatoweb.com.ar/blog/category/xss/) que se te escape en el código o un ataque de "session fixation" podría resultar suficiente.
Te recomendaría que le des una leida a un buen artículo introductorio al tema:
http://phpsec.org/projects/guide/4.html (en inglés) y luego nos comentas.
Saludos.