Hopelijk support hij het nog; https://codecanyon.net/item/creative-captcha/119205 ..
Je kan op zijn profiel gaan en hopelijk krijg je een antwoord. (heb je een licentie btw ;))?

Hopelijk start je je sessie ook ergens met session_start() - in elke script waar je $_SESSION gebruikt?

Waar wordt $_SESSION['captcha']['chosen'] bepaald, en wat zit hier precies in? Een cijfer tussen (van en met) 0 en (tot en zonder) 8? De bestandsnaam van een afbeelding?

Want in captcha.php lijkt het erop dat je $_SESSION['captcha']['chosen'] gebruikt als bestandsnaam, maar in het onderstaande codefragment ga je er vanuit dat het een cijfer bevat? Dat lijkt mij sowieso niet kloppen? Vervolgens gaat $pos dan helemaal de mist in, waarschijnlijk krijg je undefinex index waarschuwingen?
Hm, hier zat nog een $arr-mapping tussen. Die wijst van een index naar een afbeelding?

Zet anders het melden + weergeven van fout(melding)en eens aan, en/of controleer je errorlogs...

EDIT: de oriëntatie van de GD coördinaten en die van een HTML image submit is in ieder geval hetzelfde - beide hebben linksboven de oorsprong (0, 0).

NB het enige wat eigenlijk interessant is om te onthouden in de sessie is het actieve gebied van het juiste plaatje, zie niet helemaal waarom je alle positie informatie in de sessie zou moeten gooien? En dan heb je $_SESSION['captcha']['chosen'] waarschijnlijk ook niet meer nodig...

EDIT: na een header('Location: ...') hoort normaal een "exit", en dat zouden dan de laatste twee operaties van een actie moeten zijn. Nu wordt heel het script afgedraaid, inclusief het produceren van HTML en het opnieuw aanroepen van captcha.php via deze HTML, wat allemaal nogal overbodig is. Zorg dus ook voor een juiste programmaflow waarbij je verschillende acties (het weergeven van een formulier, het verwerken van dit formulier et cetera) ook echt gescheiden houdt.