[voraa]

но почему тогда формой я отлично все отправляю, а то же самое и туда же через XMLHttpRequest получаю в ответ CORS?

Так устроен этот мир. При запросах форм CORS не учитывается. (так же как не учитывается при вводе url в строке браузера, при переходе по ссылке, при запросе рисунка в img, при запросе скрипта в <script>, если не модуль. А при запросах XMLHttpRequest, fetch, при считывании модулей в <script> CORS учитывается.
Так браузеры сделаны.

Если сервер не посылает в месте с ответом заголовок, разрешающий использовать ответ при междоменном запросе, то без толку пробовать какие то заголовки. Браузер просто не примет этот ответ.