А откуда вы пробуете этот код вызвать ???
По политике безопасности этот вызов XMLHttpRequest возможен только из текущего домена, это ограничение безопасности JS, либо и другого, но если сервер отдает специальный заголовок разрешающий это для Вашего домена.
То есть вызвать такой код с консоли, находясь на странице ВК получится, а с другой - нет.
