add simple CORS config