«preflight». Для запросов, отличных от POST или GET, браузер на другие хосты отправляет запрос OPTIONS.
На него надо тоже ответить заголовками CORS.
(Вот так вот и доигрались со своим REST-API, ага).
Где-то на MDN можно почитать, наверное. Мне никогда не было нужно, но думаю по cors preflight options
что-то должно нагуглиться.
"GET,POST,PUT,PATCH,DELETE,HEAD,OPTIONS" заменили на "GET","POST"...