API віддзеркалює заголовок Origin у дозвіл і дозволяє передавати куки. Тоді сторінка на чужому домені може від твого імені прочитати приватну відповідь. Порівняй зі строгим списком дозволених джерел