Вещь с Oops довольно удивительна — я бы не ожидал, что это связано с Cloudfront… Но если это уже исправлено… отлично! 
Это просто означает, что «этот ресурс разрешено использовать из кросс-сайтового контекста». Скорее всего, вы не хотели бы видеть этот заголовок в HTTP-ответах самого форума. Но для статических ресурсов, которые не требуют аутентификации и не содержат никакой частной информации, это вполне допустимо. Именно так и должна работать система CORS — серверы избирательно контролируют, какие ответы должны быть доступны кросс-сайтово.
Если вы действительно захотите, вы можете установить Access-Control-Allow-Origin: my-forum.example.com. Но тогда у вас возникнут проблемы, если вы когда-нибудь решите сменить домен форума.