No puedo encontrar ninguna actualización reciente que haya impedido que los avatares funcionen a través de la API cuando todas las configuraciones del sitio los bloquean. De todos modos, si está utilizando SSO (o DiscourseConnect), debería utilizar la ruta de la API /admin/users/sync_sso para actualizar el avatar de los usuarios, no la ruta de la interfaz de usuario (/u/username/preferences/avatar/pick).
Y pase estos parámetros en el cuerpo de la solicitud:
avatar_url: "url-de-la-imagen",
avatar_force_update: "true"