Gip

Php short tags - он же вам вывел содержимое файла

Так у вас тут

data: {
          pk: 11,
          img: formData,
        },

img это не картинка, это FormData. Правильнее вот так

var formData = new FormData();
      // добавляем в объект FormData файл
      formData.append('img', file.prop('files')[0]);
      formData.append('pk', 11);
      $.ajax({
        url: "http://127.0.0.1:8000/api/v2/update-ava/11/",
        data: formData,
...

Работа с сессиями и заголовками происходит в контроллерах или вспомогательных классах, которые контроллер использует.
Почему - потому что сессии и заголовки это вопрос к тому, как обрабатывать запрос от пользователя, а контроллеры именно этим и занимаются. Чтобы легче понять, почему так, представляйте, что контроллеры работают не только с HTTP запросом, но также могут использоваться для обработки консольных команд, где ваши заголовки и сессии вообще не нужны. Будет много проблем, если вы внедрите работу с сессией в слой моделей, на том уровне, где не сможете легко и просто (и без костылей) понять, была ли это консольная команда или запрос из браузера.

Важно: не пытайтесь увидеть в каждом классе модель, вьюху или контроллер. MVC рассказывает нам о слоях, а не о конкретных классах.
MVC описывает основу приложения, но не каждый его элемент.