А почему через cURL работает запрос? Надо бы мне вообще с теорией ознакомиться, как это работает)
По моему, (я прям очоочоч не уверен), для проверки cors via curl надо эксплиситли указывать ориджин. Можно попробовать отправить curl с ориджином, и посмотреть, что будет