Update: 2026-08-03 00:20:40

backend/Admin/getPassengerDetails.php

@@ -1,6 +1,19 @@
 <?php
 require_once __DIR__ . '/../connect.php';
 
+// هذه النقطة تُرجع بيانات ركّاب مفكوكة التشفير (هاتف، بريد، تاريخ ميلاد،
+// هاتف طوارئ، وتوكن إشعارات). لم يكن فيها أي فحص للدور، و connect.php لا
+// يفرض بوّابة عامة على مسار /Admin — أي أن أي مستخدم يملك JWT صالحاً، بما
+// فيه راكب عادي، كان يستطيع سحب هذه البيانات كاملة.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
 $sql = "SELECT
     `passengers`.`id`,
     `passengers`.`phone`,
@@ -91,6 +104,21 @@ foreach ($result as &$row) {
     }
 }
 }
+unset($row);
+
+// نموذج الصلاحيات: `super_admin` وحده يرى الرقم كاملاً، و`admin` يراقب برقم
+// مُخفى جزئياً. توكن الإشعارات لا تعرضه الواجهة إطلاقاً ولا حاجة لإرساله —
+// تسريبه يتيح انتحال إشعارات موجّهة لراكب بعينه.
+$isSuperAdmin = ($role === 'super_admin');
+foreach ($result as &$row) {
+    unset($row['passengerToken']);
+
+    if (!$isSuperAdmin) {
+        if (isset($row['phone']))    $row['phone']    = maskPhone($row['phone']);
+        if (isset($row['sosPhone'])) $row['sosPhone'] = maskPhone($row['sosPhone']);
+    }
+}
+unset($row);
 
 if ($stmt->rowCount() > 0) {
     jsonSuccess($data = $result);

backend/Admin/getPassengerDetailsByPassengerID.php

@@ -1,6 +1,18 @@
 <?php
 require_once __DIR__ . '/../connect.php';
 
+// نقطة تُرجع بيانات راكب مفكوكة التشفير. connect.php لا يفرض بوّابة عامة
+// على مسار /Admin، فبدون هذا الفحص كان أي مستخدم يملك JWT صالحاً — بما فيه
+// راكب عادي — يستطيع استعلام بيانات أي راكب آخر.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
 $passengerID = filterRequest("passengerID");
 
 $sql = "SELECT

backend/Admin/getPassengerbyEmail.php

@@ -1,6 +1,18 @@
 <?php
 require_once __DIR__ . '/../connect.php';
 
+// نقطة تُرجع بيانات راكب مفكوكة التشفير. connect.php لا يفرض بوّابة عامة
+// على مسار /Admin، فبدون هذا الفحص كان أي مستخدم يملك JWT صالحاً — بما فيه
+// راكب عادي — يستطيع استعلام بيانات أي راكب آخر.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
 $passengerEmail = $encryptionHelper->encryptData(filterRequest("passengerEmail"));
 $passengerId = filterRequest("passengerId");
 $passengerphone = $encryptionHelper->encryptData(filterRequest("passengerphone"));

backend/Admin/v2/security/audit_logs.php

@@ -1,19 +1,15 @@
 <?php
 // Admin/v2/security/audit_logs.php
 
-// ── سجل تتبع ────────────────────────────────────────────
-$debugFile = __DIR__ . '/../../../logs/audit_debug.txt';
-$logDir = dirname($debugFile);
-if (!is_dir($logDir)) @mkdir($logDir, 0750, true);
-
-@file_put_contents($debugFile, "[" . date('Y-m-d H:i:s') . "] === REQUEST START ===\n", FILE_APPEND);
+// كان هنا تتبّع تشخيصي يكتب ملفاً نصياً على القرص مع كل طلب، ويسجّل فيه
+// user_id والدور. أُزيل: يراكم ملفاً بلا حد في الإنتاج ويسرّب سياق الجلسة.
+// ما يستحق التسجيل يذهب إلى error_log مع الأخطاء وحدها.
 
 try {
     require_once __DIR__ . '/../../../connect.php';
     
-    @file_put_contents($debugFile, "  → connect.php & encryption OK. user_id=$user_id | role=$role\n", FILE_APPEND);
 } catch (Exception $e) {
-    @file_put_contents($debugFile, "  → Loading FAILED: " . $e->getMessage() . "\n", FILE_APPEND);
+    error_log('[audit_logs] bootstrap failed: ' . $e->getMessage());
     http_response_code(500);
     printFailure('loading failed', 500);
     exit;
@@ -21,7 +17,6 @@ try {
 
 // ── فحص الصلاحيات ────────────────────────────────────────
 if ($role !== 'super_admin' && $role !== 'admin') {
-    @file_put_contents($debugFile, "  → BLOCKED: role=$role\n", FILE_APPEND);
     printFailure("Unauthorized. role=$role", 403);
 }
 
@@ -55,12 +50,11 @@ try {
     }
 
     $count = count($logs);
-    @file_put_contents($debugFile, "  → SUCCESS: fetched $count logs\n", FILE_APPEND);
 
     jsonSuccess($logs);
 
 } catch (Exception $e) {
-    @file_put_contents($debugFile, "  → QUERY ERROR: " . $e->getMessage() . "\n", FILE_APPEND);
+    error_log('[audit_logs] query failed: ' . $e->getMessage());
     jsonError('Query failed', 500);
 }
 ?>