Apply CORS headers