Боюсь, безопасный режим отключает только код на стороне клиента, а не серверную часть (что устраняет большинство проблем, но не все), поэтому проблема может быть всё ещё в плагине. Наиболее вероятный кандидат — плагин allow-pms-to-staff, так как это единственный неофициальный плагин в списке. Попробуйте удалить его из файла app.yml и пересобрать приложение, чтобы проверить, действительно ли он вызывает проблему?
Недавно поступал отчёт о необходимости исправления для чего-то другого, хотя это может быть не связано: