CORS не то, чтобы разрешен, есть свойство приложение jmix.rest.allowedOrigins в котором можно указать конкретный Origin для которого разрешено. То есть jmix.rest.allowedOrigins = http://127.0.0.1:5500
Все остальные настройки CORS будут сделаны автоматически: разрешенные Header и HTTP методы.