Bloquear as expansões no worldserver.conf

Restrição de conta não é no worldserver.conf, mas sim na própria conta do jogador. No banco de dados auth, tabela account, existe uma coluna chamada expansion que faz menção à expansão liberada na conta do jogador. Por padrão, esse campo automaticamente vem com a última expansão do servidor, que no seu caso é 6 (Legion). Basta você mudar o padrão para 4 (Pandarias) e depois alterar a expansão de todas as contas já criadas com a consulta SQL:
UPDATE account SET expansion = 4;