Receio que o modo de segurança apenas desabilite o código do lado do cliente (front-end) e não o do lado do servidor (que pega a maioria das coisas, mas não tudo), então ainda pode ser um plugin. O mais provável é o allow-pms-to-staff, pois é o único não oficial na lista. Você poderia tentar removê-lo do seu app.yml e reconstruir para ver se é realmente isso que está causando o problema?
Houve um relato de que ele precisou de uma correção para outra coisa recentemente, embora possa não estar relacionado: