CORS não libera credenciais para qualquer origem
Envia uma requisição com a origem https://veloz-shield-probe.example e falha se a resposta permitir credenciais e aceitar qualquer origem (*) ou repetir a origem recebida.
Por que importa
Com credenciais liberadas para qualquer origem, outro site pode fazer requisições ao seu app com os cookies do usuário e ler as respostas.
Como corrigir
Quando precisar de credenciais, responda Access-Control-Allow-Origin só para uma lista fixa de origens confiáveis.
Como conferir a correção
HTTP-006
curl -sI -H 'Origin: https://veloz-shield-probe.example' https://seu-app.com | grep -i access-control