Para mim, não parece ser o comportamento correto.
Curiosamente, quando tentei reproduzir o problema pela primeira vez, o plugin Discourse Reactions estava habilitado. Com o plugin Reactions habilitado, os usuários podem ver as avatares de quem curtiu suas postagens, mesmo que não tenham permissão para enviar mensagens a essa pessoa. Isso me parece o comportamento correto.
Com o plugin Reactions desabilitado, os usuários não conseguem ver a avatar de quem curtiu suas postagens se essa pessoa não tiver permissão para enviar mensagens a eles.
Vou recategorizar este tópico para a categoria Contribute > UX para ver se é algo que a equipe do Discourse deseja analisar.