Похоже, вам не хватает insert_before 0 в соответствии с docs
config.middleware.insert_before 0, Rack::Cors do allow do origins '*' resource '*', headers: :any, methods: [:get, :post, :options] end end