cors ссаный набор костылей, первое что надо понять и загуглить при работе с cors так это то, что нахуй надо забыть про *, браузеры типа хрома вертилти её на хую и продолжат тупить и приёбываться, если им в явном виде не подставлять хост
починил уже)
там надо для каждого кастомного хедера добавлять его в список