Что такое CORS и для чего он нужен? Как разрешить запросы со всех источников?

CORS позволяет серверу указать, каким другим origin браузер разрешит читать ответ. Для публичных запросов без credentials используют Access-Control-Allow-Origin: *.

Это политика браузерного доступа к ответу, не авторизация и не защита сервера от любых запросов. Для credentialed-запросов wildcard не подходит: нужен конкретный разрешённый origin и отдельное разрешение credentials. Preflight при необходимости также должен разрешать метод и заголовки. Не отражайте произвольный Origin без проверки списка доверенных источников.

Источник: developer.mozilla.org.