Updated CORS docs to match the actual behaviour