Update: 2026-07-25 14:44:30

backend/Admin/driver/deleteCaptain.php

@@ -1,6 +1,18 @@
 <?php
 require_once __DIR__ . '/../../connect.php';
 
+// حارس الصلاحيات: هذه النقطة تحذف سجلاً نهائياً من قاعدة البيانات.
+// connect.php يتحقق من صحة التوكن فقط، فبدون هذا الفحص كان أي توكن صالح
+// (سائق أو راكب) قادراً على حذف السائقين.
+if ($role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Super Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
 $driver_id = filterRequest("driver_id");
 $phone     = filterRequest("phone");
 $reason    = filterRequest("reason"); // يمكن أن يأتي من البارامتر أو نخليه افتراضي

backend/Admin/driver/remove_from_blacklist.php

@@ -1,6 +1,16 @@
 <?php
 require_once __DIR__ . '/../../connect.php';
 
+// حارس الصلاحيات: رفع الحظر عملية إدارية، وكانت هذه النقطة بلا أي فحص دور.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
 $phone = filterRequest("phone");
 
 if (empty($phone)) {

backend/Admin/passenger/admin_unblacklist.php

@@ -1,6 +1,16 @@
 <?php
 require_once __DIR__ . '/../../connect.php';
 
+// حارس الصلاحيات: رفع الحظر عملية إدارية، وكانت هذه النقطة بلا أي فحص دور.
+if ($role !== 'admin' && $role !== 'super_admin') {
+    http_response_code(403);
+    echo json_encode([
+        'status'  => 'failure',
+        'message' => 'Forbidden. Admin access required.',
+    ], JSON_UNESCAPED_UNICODE);
+    exit;
+}
+
 function normalize_phone($s) { return preg_replace('/\D+/', '', (string)$s); }
 
 $phone = filterRequest("phone");