Почему так работает?

[laimas]

Это не CORS ошибка а CORB

Это аббревиатура от Cross-Origin Read Blocking, думаю последнее слово переводить не надо. И это CORS. Что-то не соответствует условиям API - нет авторизации, еще что-то... Читайте у них.

[oslayer]

document.body.appendChild(script); матерится вот здесь

[oslayer]

var script = document.createElement('script');

        script.src = url + data;

        document.body.appendChild(script);