Tyhle problémy vznikají vždy, když se kombinují dva skriptovací jazyky a oba používají uvozovky a apostrofy. V daném případě Bash a MySQL.
String v MySQL musí být v apostrofech. Proto je kolem proměnné $password. To celé se však nachází v uvozovkách, proměnnou $password expanduje už Bash. Proto se do výsledného SQL dotazu vpašuje ...IDENTIFIED BY 'heslo';
Kdybys tam nedal ty apostrofy, MySQL by slovo "heslo" považovalo za název proměnné.