Fai un echo di $sql e ti accorgerai del problema

Altro consiglio: utilizza hash MD5 o simili e non salvare la password degli utenti in chiaro sul db. Cerca sul forum, se n'è parlato più volte.