这不是问题所在。如果是那样，那就是浏览器漏洞了。
中间人可以在 http://alohadentalgroup.com 连接中添加一个 Cookie，该 Cookie 的域为 alohadentalgroup.com，并包含该域（而非论坛域）已知名称的会话 Cookie（如果存在，我尚未确认）。
如果用户稍后使用 https://alohadentalgroup.com 的登录信息来管理该域，那么该 Cookie（通过 HTTP 创建）将通过 HTTPS 发送回来。
这是一个关键（且常被忽视）的 Cookie 特性。
这也是创建 Cookie 前缀的原因之一。以 __Secure- 或 __Host- 开头的 Cookie 要求必须使用 HTTPS，这样上述情况就不再可能发生。Preload 策略也是如此（但大多数网站未启用 HSTS，也未被列入预加载列表）。
参见（2017 年）
或其他相关链接。
附注：我的“检查您的网站”功能（参见我的个人资料）中包含一些示例页面以及一个小型演示。该演示展示了一个通过 HTTP 创建并通过 HTTPS 发送回来的 Cookie。在现代浏览器中，无法通过 HTTP 创建 __Host- 前缀的 Cookie。不过，带有前缀的 Cookie 目前仍较为罕见。