sub.site.com не является поддоменом
www.site.com.
(Хотя является поддоменом site.com)
Следовательно обычные пляски с бубном вокруг CORS.
Сервер вместе с ответом должен посылать все необходимые заголовки.
Подробности тут
https://developer.mozilla.org/ru/docs/Web/HTTP/CORS