Primeiro, não existe nada realmente impedindo a continuação do código, ou seja, ele vai ler o seu código e independente de ter uma `session` ou não, o `var authorized` vai ser validado como `true` e ele vai passar.

Você precisa fazer sua verificação dentro de um mesmo bloco e garantir que o var authorized só seja validado como true se ele realmente estiver logado.

Outra observação, antes de fazer toda a verificação de `session`, verifique primeiro se o usuário está tentando acessar uma área restrita. Se for uma área pública, não há necessidade de verificar se o usuário está logado. Ou seja, a lógica da sua verificação deve ser algo mais ou menos assim:

> O state requer login? <br />
> se não -> continua <br />
> se sim -> verifica.. <br />
>
> O usuário está logado? <br />
> se sim -> continua <br />
> se não -> retorna para o login <br />
>
> O usuário tem permissão? <br />
> se sim -> continua <br />
> se não -> retorna para página de permissão <br />

Precisaria fazer alguns testes para identificar se realmente vai funcionar, mas acredito que a estrutura do seu código deva seguir algo +- assim:

    $rootScope.$on('$stateChangeStart', function(event, toState, toParams, fromState, fromParams) {
      if(toState.name === "page.login" || toState.name === "page.register") {
        return;
      } else {

        if (typeof(toState) !== undefined) {
          $templateCache.remove(toState.templateUrl);
        } else {

          if($rootScope.session == undefined && $cookieStore.get('user') == undefined) {
            $rootScope.session =  {};
            event.preventDefault();
            return $state.go('page.login');

          } else if($rootScope.session == undefined && $cookieStore.get('user') != undefined) {
            $rootScope.session = {
              set:true, 
              name : $cookieStore.get('user')['name'], 
              userid : $cookieStore.get('user')['id'], 
              role: $cookieStore.get('user')['nivel'],
              email: $cookieStore.get('user')['email']
            };

            var authorized = true;

            if(Object.keys(toState.permissions).length !== 0) {
              angular.forEach(toState.permissions, function(value, key) {
                angular.forEach(value, function(role) {            
                  if(key === 'except' && role === $rootScope.session.role) {
                    authorized = false;
                  } else if(key === 'allow' && role !== $rootScope.session.role) {
                    authorized = false;
                  };
                });
              });
            }

            if(!authorized) {
              event.preventDefault();
              return $state.go('app.home');
            };
          }
        }
      }
    });

Espero que isso ajude você a entender melhor como organizar as verificações.