O mais simples possível

Você consegue achar a vulnerabilidade no código abaixo?

<?php

if (! empty($_GET['username'])) {
    echo "Hello, {$_GET['username']}!";
    return;
}

?>
<!DOCTYPE html>

<html>

<head>
    <title>Hello!</title>
    <meta charset="utf-8" />
</head>

<body lang="en-US">
    <form method="GET">
        Your name:
        <input type="text" name="username" placehoder="John" />

        <input type="submit" value="Send" />
    </form>
</body>

</html>