O que é CORS, como ele funciona e de que ataque ele protege?

O CORS serve basicamente para permitir que o navegador possa enviar um mesmo cookie para domínios diferentes.

Imagine que você está navegando em https://exemplo.test e este pede ao seu navegador para criar um cookie no domínio ".exemplo.test" ou "exemplo.test".

Agora imagine que há um subdomínio chamado https://api.exemplo.test que precisa também receber o mesmo cookie gerado em https://exemplo.test toda vez que for acessado via requisição AJAX ou clicar em um link, iniciando no primeiro e direcionando-se ao segundo.

Explicação sobre CORS do MDN
https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS

Explicação sobre do que o CORS protege
https://nodeployfriday.com/posts/cors-cyber-attacks/