api: fix cors