Questo non è il problema. Sarebbe un bug del browser.
Un uomo nel mezzo può aggiungere un cookie nella connessione http://alohadentalgroup.com con il dominio alohadentalgroup.com, con il nome noto di un cookie di sessione (se esiste, non ho verificato) di quel dominio (non dal dominio del forum).
Se un utente - in seguito - utilizza il login di https://alohadentalgroup.com per gestire quel dominio, quel cookie (creato tramite HTTP) viene inviato di nuovo tramite HTTPS.
Questa è una funzionalità critica (e spesso sconosciuta) dei cookie.
Questo è uno dei motivi per cui vengono creati i prefissi dei cookie. Per i cookie che iniziano con __Secure- o __Host-, è richiesto HTTPS. In tal caso, ciò non è più possibile. Lo stesso vale per Preload (ma la maggior parte dei siti non utilizza HSTS e non è pre-caricato).
Vedi (2017)
o altri link.
PS: Il mio “controlla il tuo sito web” (vedi il mio profilo) ha una pagina con alcuni esempi. E una piccola demo. Un cookie creato tramite HTTP e inviato di nuovo tramite HTTPS. Tramite HTTP non è possibile (con un browser moderno) creare il cookie __Host-. Ma i cookie con prefisso sono rari.