Das ist nicht das Problem. Das wäre ein Browser-Fehler.
Ein Man-in-the-Middle kann ein Cookie in die Verbindung http://alohadentalgroup.com mit der Domain alohadentalgroup.com hinzufügen, mit dem bekannten Namen eines Sitzungs-Cookies (falls vorhanden, habe ich das nicht geprüft) dieser Domain (nicht von der Forendomain).
Wenn ein Nutzer später die Anmeldung bei https://alohadentalgroup.com verwendet, um diese Domain zu verwalten, wird dieses Cookie (erstellt über HTTP) über HTTPS zurückgesendet.
Dies ist eines der kritischen (und oft unbekannten) Cookie-Features.
Das ist ein Grund, warum Prefix-Cookies erstellt werden. Bei Cookies, die mit __Secure- oder __Host- beginnen, ist HTTPS erforderlich. Dann ist dies nicht mehr möglich. Gleiches gilt für Preload (aber die meisten Seiten nutzen kein HSTS und sind nicht vorab geladen).
Siehe (2017)
oder andere Links.
PS: Meine “Überprüfen Sie Ihre Website”-Seite (siehe mein Profil) enthält einige Beispiele und eine kleine Demo. Ein über HTTP erstelltes und über HTTPS zurückgesendetes Cookie. Über HTTP ist es (mit einem modernen Browser) nicht möglich, das __Host-Cookie zu erstellen. Prefix-Cookies sind jedoch selten.