Евгений

Так $flag не задан нигде. Я думаю оно у вас ругается на то, что переменная не определена?
PS: А пароль в некотором месте надеюсь в зашифрованном виде хранится?
Тогда перед сравнением надо и введенный пароль в форме зашифровать для сравнения.