allows CORS
fixed typo