Проблема номер раз: надо что-то сделать с CSP для этого (сейчас мастодон запрещает вообще все запросы к внешним серверам)
Проблема номер два: мастодон не везде выставляет CORS, например на outbox его нет (ну и другие приложения тоже могут не выставлять соответственно)