Błąd mówi, że nie da się wywołać metody fetch_object() na czymś, co nie jest obiektem.
Sprawdzamy więc co się mogło stać, że nie ma tam obiektu: http://php.net/manual/en/mysqli.query.php
Returns FALSE on failure. For successful SELECT, SHOW, DESCRIBE or EXPLAIN queries mysqli_query() will return a mysqli_result object. For other successful queries mysqli_query() will return TRUE.
Przypuszczalnie będzie tam false, czyli błąd. I teraz patrzymy w zapytaniu - czy czasem login z sesji nie jest stringiem? Bo jeśli jest to wypadałoby go wstawić w cudzysłowy/apostrofy. A jeszcze lepiej byłoby wszystkie wartości bindować.