Para mim, não parece ser o comportamento correto.
Estranhamente, quando tentei reproduzir o problema pela primeira vez, eu tinha o plugin Discourse Reactions ativado. Com o plugin Reactions ativado, os usuários podem ver os avatares dos usuários que curtiram suas postagens, mesmo que o usuário não tenha permissão para enviar mensagens para eles. Isso me parece o comportamento correto.
Com o plugin Reactions desativado, os usuários não podem ver o avatar dos usuários que curtiram suas postagens se o usuário que curtiu a postagem não tiver permissão para enviar mensagens para eles.
Vou reclassificar este tópico para a categoria UX para ver se é algo que a equipe do Discourse quer investigar.