Isso não é o problema. Isso seria um bug do navegador.
Um homem no meio pode adicionar um cookie na conexão http://alohadentalgroup.com com o domínio alohadentalgroup.com, usando o nome conhecido de um cookie de sessão (se existir, não verifiquei isso) daquele domínio (não do domínio do fórum).
Se um usuário - mais tarde - usar o login de https://alohadentalgroup.com para gerenciar aquele domínio, esse cookie (criado via HTTP) será enviado de volta via HTTPS.
Essa é uma funcionalidade crítica (e muitas vezes desconhecida) dos cookies.
Essa é uma das razões pelas quais os cookies com prefixo são criados. Cookies que começam com __Secure- ou __Host- exigem HTTPS. Assim, isso não é mais possível. O mesmo vale para Preload (mas a maioria dos sites não usa HSTS e não está pré-carregado).
Veja (2017)
ou outros links.
PS: Minha ferramenta “verifique seu site” (veja meu perfil) tem uma página com alguns exemplos. E uma pequena demonstração. Um cookie criado via HTTP e enviado de volta via HTTPS. Via HTTP não é possível (com um navegador moderno) criar o cookie __Host-. Mas cookies com prefixo são raros.