вообще для дебага я обычно закидываю сначала вот так
Header always set Access-Control-Allow-Origin "*"
Header set Access-Control-Allow-Methods: "GET, OPTIONS"
и если заработало, то тогда уже с Access-Control-Allow-Origin "*" начинаю возиться
Закидывать это надо на сервер с которого подтягиваются картинки
А "для дебага" - потому что были моменты, когда перед апачем стоял Nginx который переопределял эти заголовки (вернее выпиливал их). ХЗ чем руководствовался человек, который конфигурировал nginx, но теперь поступаю вот так)