サニタイズされていないユーザー名を利用したbiscuit factインジェクション