Я лишь хотел понять причину почему $_SESSION можно, а $_REQUEST нельзя.
Я вам ответил почему. Вы это не приняли как причину. Ваше право. Я не буду усиленно объяснять вам свою точку зрения. Но ваши пожелания не буду внедрять, потому как они мне будут мешать (это по опыту работы). Вполне вероятно и вы к этому когда-нибудь придете. А может и не придете.
Сейчас в компоненте ошибки нет. В той же сборке ShopModxBox проверка каптчи вызывается внутри процессора формы, в который передаются данные запроса явно. Единственное что в том процессоре следует доработать, так это передачу еще и параметра «captcha_key» (просто этот параметр появился позже, чем был написан тот процессор).