Seu fetch para a API falha com erro de CORS no navegador mas a mesma requisição funciona no curl. O que está acontecendo e o que você faz?

CORS é imposto pelo navegador, não pelo servidor, então o curl nunca vê. A requisição provavelmente chegou ao servidor e a resposta simplesmente não trouxe um cabeçalho de origem permitida que o navegador aceitasse, ou um preflight OPTIONS falhou. Cheque na aba de rede a requisição OPTIONS e seus cabeçalhos de resposta, confirme que a origem, os métodos e os cabeçalhos permitidos cobrem a sua chamada, e lembre que credenciais exigem origem explícita mais allow credentials, nunca curinga.

A primeira coisa que digo é que CORS é regra de navegador, não de servidor, então o curl funcionar não me diz nada além de que o endpoint está no ar. O navegador fez a requisição, ou um preflight para ela, e se recusou a me entregar a resposta porque os cabeçalhos não permitiam a minha origem. Então abro a aba de rede e procuro primeiro uma requisição OPTIONS. Se ela está lá e retorna 4xx, o próprio preflight está falhando, normalmente porque adicionei um cabeçalho customizado ou um content type JSON que tirou a requisição da categoria simples, e a lista de cabeçalhos permitidos do servidor não inclui aquilo. Se não há preflight, então a resposta real está sem um cabeçalho de origem permitida que combine com a minha origem. A correção é no servidor. No desenvolvimento local eu passo por um proxy no dev server para minha origem combinar, mas garanto que os cabeçalhos reais também estejam configurados, senão quebra no staging. E se a chamada envia cookies, o servidor precisa devolver uma origem específica mais allow credentials, já que curinga é rejeitado nesse caso.