Die Sache mit Oops ist ziemlich überraschend – ich hätte nicht damit gerechnet, dass das mit Cloudfront zu tun hat … Aber wenn es jetzt behoben ist … großartig! 
Es bedeutet lediglich, dass dieses Asset aus einem Cross-Site-Kontext verwendet werden darf. Auf den eigentlichen HTTP-Antworten des Forums würde man diesen Header wahrscheinlich nicht setzen wollen. Aber bei statischen Assets, die keine Authentifizierung erfordern und keine privaten Informationen enthalten, ist das völlig in Ordnung. Genau so soll das CORS-System funktionieren – damit Server gezielt steuern können, welche Antworten cross-site verfügbar sein sollen.
Wenn man es wirklich möchte, könnte man Access-Control-Allow-Origin: my-forum.example.com setzen. Dann stößt man aber auf Probleme, falls man die Foren-Domain irgendwann ändert.