Может ли js скрипт изменять токен и куки перед отправкой формы в PHP через Curl?

Да, может. Вы можете передать скрипту параметры для токена и куки, а затем использовать их для настройки запроса Curl.