Eu tive o mesmo problema com o ServiceStack 3.9.70. Eu criei um novo projeto hospedado na raiz de um aplicativo do IIS. Acontece que o problema foi causado pela seguinte linha na configuração AppHost
config.ServiceStackHandlerFactoryPath = ""; // Results in forbidden
Eu copiei de outro projeto onde o ServiceStack estava hospedado em uma subpasta:
config.ServiceStackHandlerFactoryPath = "api"; // subfolder: WORKS
config.ServiceStackHandlerFactoryPath = null; // root: WORKS