Eso no es el problema. Eso sería un error del navegador.
Un atacante en el medio puede agregar una cookie en la conexión http://alohadentalgroup.com con el dominio alohadentalgroup.com, usando el nombre conocido de una cookie de sesión (si existe, no lo verifiqué) de ese dominio (no del dominio del foro).
Si un usuario, más tarde, utiliza el inicio de sesión de https://alohadentalgroup.com para gestionar ese dominio, esa cookie (creada vía HTTP) se enviará de vuelta vía HTTPS.
Esta es una característica crítica (y a menudo desconocida) de las cookies.
Esta es una de las razones por las que se crean los prefijos de cookies. Las cookies que comienzan con __Secure- o __Host- requieren HTTPS. De esa manera, esto ya no es posible. Lo mismo ocurre con Preload (aunque la mayoría de los sitios no usan HSTS y no están precargados).
Vea (2017)
u otros enlaces.
PD: Mi “verifica tu sitio web” (vea mi perfil) tiene una página con algunos ejemplos y una pequeña demostración: una cookie creada vía HTTP y enviada de vuelta vía HTTPS. A través de HTTP no es posible (con un navegador moderno) crear la cookie __Host-. Sin embargo, las cookies con prefijos son poco comunes.