Есть ли простой способ отключить CORS на firebase hosting?

Да, через firebase.json это делается в пару строк. Добавь в секцию `headers` правило с `"source": "**"` и заголовком `Access-Control-Allow-Origin: *`, и браузер перестанет ругаться на CORS для статики. Если у тебя Cloud Functions — там CORS настраивается прямо в коде функции (или через middleware для express).