Appunto: $foto non è valorizzata... ed infatti nell'echo di $sql ti ritrovi con

in ORDER BY