CORS to reguła przeglądarki, która mówi, z jakich originów JavaScript może odczytać odpowiedź z Twojego API. To nie jest uwierzytelnianie i nie blokuje wywołań z serwera ani narzędzi typu curl. Nadal potrzebujesz poprawnego auth/authz i walidacji po stronie serwera.