Zaten orada bir sorun yok

$query = "SELECT * FROM users WHERE `username`='$username_from_cookie'";

kullanmışsın mesela, eğer yukarılarda bir yerlerde

$username_from_cookie = $_COOKIE['username'];

şeklinde bir şey kullandıysan, ve mesela, örnek olarak kullanıcı kendi pc sindeki cookie yi değiştirip 'admin' yaptıysa yukarıdaki sorgu

SELECT * FROM users WHERE username = 'admin'

olacak, dolayısı ile admin olarak giriş yapmış olacak