Это не проблема. Это был бы баг браузера.
Человек посередине может добавить куку в соединение http://alohadentalgroup.com с доменом alohadentalgroup.com, используя известное имя куки сессии (если она существует, я не проверял это) этого домена (не домена форума).
Если пользователь позже использует вход на https://alohadentalgroup.com для управления этим доменом, эта кука (созданная через HTTP) будет отправлена обратно через HTTPS.
Это одна из критических (и часто неизвестных) особенностей работы куки.
Именно поэтому создаются куки с префиксами. Для куки, начинающихся с __Secure- или __Host-, требуется HTTPS. Тогда это больше невозможно. То же самое касается Preload (но большинство сайтов не используют HSTS и не добавлены в preload-списки).
См. (2017)
или другие ссылки.
PS: Мой инструмент “проверьте ваш сайт” (см. мой профиль) содержит страницу с примерами. И небольшую демонстрацию. Кука, созданная через HTTP и отправленная обратно через HTTPS. Через HTTP невозможно (в современном браузере) создать куку с префиксом __Host-. Но куки с префиксами встречаются редко.