Não consigo encontrar nenhuma atualização recente que tenha impedido o funcionamento de avatares via API quando todas as configurações do site os bloqueiam. De qualquer forma, se você estiver usando SSO (ou DiscourseConnect), deverá usar a rota da API /admin/users/sync_sso para atualizar o avatar dos usuários, e não a rota da interface do usuário (/u/username/preferences/avatar/pick).
E passe estes parâmetros no corpo da solicitação:
avatar_url: "url-da-imagem",
avatar_force_update: "true"