Режим карантина - это для гостей. Херовая уязвимость и не совсем понятно, что пашэ делает. Без деды я не решу. Логично было бы, конечно, проверять, чтобы имя хотя бы и id не было null, а в БД пишется пустое имя и уид. Пока подозрения на подмену сессии. Но точно не ясно.

Если уязвимость будет эксплуатироватья дальше и решения не будет - хз, что делать.