enable CORS for /data/*