add cors to OPTIONS