get_current_user кэширует пользователя в Redis на 5 минут. verify_email не сбрасывал этот кэш после user.is_verified = True — если пользователь до подтверждения хотя бы раз дёрнул защищённый эндпоинт (закешировался как неверифицированный), он получал "Необходимо подтвердить email адрес" ещё до 5 минут после реального подтверждения по ссылке из письма.