cors origins 設定は admin > settings > security で制御されます。
cors origins
admin > settings > security
app.yml には DISCOURSE_ENABLE_CORS: だけが必要です。
DISCOURSE_ENABLE_CORS: