XHR false in CORS