Я не могу найти никаких недавних обновлений, которые могли бы отключить работу аватаров через API, даже если все настройки сайта запрещают их использование. В любом случае, если вы используете SSO (или DiscourseConnect), для обновления аватара пользователя следует использовать маршрут API /admin/users/sync_sso, а не маршрут интерфейса (/u/username/preferences/avatar/pick).
Также передайте следующие параметры в теле запроса:
avatar_url: "url-of-image",
avatar_force_update: "true"