¿Qué nos dice este comportamiento de carga para siempre?

Su solicitud podría ser rechazada automáticamente y la conexión se interrumpió, ya que los datos en el formulario fueron identificados como maliciosos por alguna utilidad de monitoreo de tráfico de red (por ejemplo, un firewall de aplicación web).

Además, si se le concedió permiso para realizar un pen test del objetivo, también debería poder trabajar con el propietario del sitio web para investigar el error desde su perspectiva.

(Copiado de mi comentario hecho en la pregunta original)

El motivo depende de cómo se estructura internamente la consulta de inicio de sesión. No significa necesariamente que esté recuperando todas las entradas de la tabla (podría ser). También podría significar que la consulta está causando que la base de datos devuelva un mensaje de error que la aplicación no ha manejado o que lo maneja de tal manera. Que no se devuelve ninguna respuesta al cliente. En cualquier caso, la respuesta es sí, es muy probable que el sitio web sea vulnerable a la inyección de SQL, pero esto no significa que su consulta en particular esté funcionando.