Роман Юрьевич Ипатьев, есть и похоже этот самый пароль автор прописывает в атрибуте action, что равносильно тому, чтобы засветить пароль всем, кто эту форму увидит.
Роман Юрьевич Ипатьев, API должно поддерживать cors заголовки, если нет, то проксировать запрос через свой бэк. А что не так с ответом? Его в любом случае придется парсить.