Дмитрий Беляев

В переменной host на сервере должен быть localhost, чтоб так работало, а не хост сервера (или что там у Вас).

Origin можно чекать динамически, если Вас опрашивают более 1 хоста:
https://github.com/expressjs/cors#configuring-cors...

А еще можно передать туда RegExp или массив строк/RegExp:
https://github.com/expressjs/cors#configuration-options

у Вас стоит опция withCredentials: true - которая говорит браузеру, что Вы хотите отправлять куки стороннему ресурсу. В этом плане более строгая политика CORS:
1. заголовок ответа Access-Control-Allow-Origin не может быть вилдкард (*), сервер должен отвечать точным origin
2. должен присутствовать заголовок ответа Access-Control-Allow-Credentials: true

по итогу сервер должен ответить следующими заголовками:
Access-Control-Allow-Origin: {request.headers.Origin}
Access-Control-Allow-Methods: GET, OPTIONS, HEAD
Access-Control-Allow-Credentials: true

где {request.headers.Origin} - заголовок Origin из запроса

Потому что код надо копировать с умом...
res.cookie("userID" , data._id, { HttpOnly: true})

P.S. Access-Control-Allow-Origin - серверный заголовок, отправлять его с клиента - нет смысла

Работать с ajax нативно, jquery кинет ошибку на все статусы кроме 2хх