Add allowed CORS_HEADERS to CORS() init