Они сами по себе не открывают какую-либо уязвимость/уязвимости?
CORS сам по себе ничего не делает, это просто указание браузеру «у меня вот такие ограничения, если ты их понимаешь... а если не понимаешь, то и не надо».
Dimon3x, у тебя, похоже, проблемы с пониманием русского языка. Ещё раз, внимательно: нельзя просто так создать реквест и ожидать там появление кук. В документации написано, как надо работать с реквестом, почему ты изобретаешь свои пути и удивляешься, что «не работает»?