non centra htmlentities in questo caso.

casomai è necessario fare l'escape della stringa in questione

es:
$nome_maiuscolo = mysql_escape_string('quello che vuoi');
$categoria = mysql_escape_string('quello che vuoi');
$nome_foto = mysql_escape_string('quello che vuoi');


INSERT INTO immagini (nome_soggetto,categoria,nome_foto) VALUES ('$nome_maiuscolo','$categoria','$nome_foto');

vedi http://php.html.it/guide/lezione/298...sql-injection/