feat(controller): add CORS headers to api