Возможнаа-ли SQL Injection в данной строке?

Как можно сделать SQL Injection при такой строке, возможно-ли это вообще?

cur.execute('SELECT password FROM admins WHERE username=\'%s\'' % request.form['username'].replace('%', '%%'))

PS: это ctf, все легально