Можно просто поставить NGINX (или другой обратный прокси) перед PVE и добавить туда необходимые заголовки.

Я сделал это для работы с PVE 7.3-3 (без использования обратного прокси), изменив два файла, отвечающих за обработку веб-запросов. /usr/share/perl5/PVE/APIServer/AnyEvent.pm Perl: my $known_methods = {
   GET => 1,
   POST => 1,
   PUT => 1,
   DELETE => 1,
   OPTIONS => 1, # добавлено
}; Perl: $resp->header('Server' => "pve-api-daemon/3.0");
$resp->header('Access-Control-Allow-Origin' => "*"); # добавлено
$resp->header('Access-Control-Allow-Methods' => "*"); # добавлено
$resp->header('Access-Control-Allow-Headers' => "*"); # добавлено /usr/share/perl5/PVE/HTTPServer.pm Perl: # явно разрешаем некоторые вызовы без аутентификации
if (($rel_uri eq '/access/domains' && $method eq 'GET') ||
   ($rel_uri eq '/access/ticket' && ($method eq 'GET' || $method eq 'POST')) ||
   ($rel_uri eq '/access/openid/login' &&  $method eq 'POST') ||
   ($rel_uri eq '/access/openid/auth-url' &&  $method eq 'POST') || # изменено
   ($method eq 'OPTIONS')) { # добавлено
   $require_auth = 0;
} Perl: my $resp = {
status => HTTP_NOT_IMPLEMENTED,
message => "Method '$method $rel_uri' not implemented",
};

if ($method eq 'OPTIONS') { # добавлено
   $resp = { status => HTTP_OK }; # добавлено
} # добавлено

my ($handler, $info); Эти изменения/хаки просто чтобы заработало в моей лаборатории, и они ни в коем случае не безопасны (и я не эксперт по веб-серверам или perl). Запрос на поддержку установки заголовков CORS отслеживается здесь.