fix dev CORS bug