Le formulaire de connexion trop confiant

Contexte

Un formulaire de connexion (environnement de test autorisé) construit sa requête ainsi côté serveur :

SELECT * FROM users
WHERE username = '{username}' AND password = '{password}';

Le champ username n'est jamais échappé ni paramétré.

Mission

Quelle valeur, saisie dans le champ username (mot de passe laissé vide ou quelconque), permettrait de se connecter en tant qu'administrateur sans connaître son mot de passe ? Donne la charge utile (payload) exacte à saisir dans le champ username.