Насколько я понимаю, если клиентский скрипт, запущенный на странице с foo.com, хочет запросить данные с bar.com, в запросе он должен указать заголовок Origin: http://foo.com, а bar должен ответить Access-Control-Allow-Origin: http://foo.com. Что может помешать вредоносному коду с сайта roh.com...