add CORS notice