Laravel по-русски

Доброго времени суток.

Laravel: 5.6.28
PHP: 7.2, Apache
Windows + OpenServer

Есть 2 сайта: foo.loc - делает запрос с помощью js xhr или путем встраивания iframe, bar.loc - обрабатывает.
Пытаюсь сделать xhr или вызвать iframe на домене foo.loc с запросом на bar.loc, но при этом почему-то не читается куки.
Например: зашел через браузер на bar.loc - сессия сохраняется при обновлении страницы, все работает.
Затем делаю запрос с foo.loc, в запросе отсутствует заголовок Cookie, и после этого на bar.loc перезаписывается ид сессии, т.к мы получаем в ответ заголовок Set-Cookie: laravel_session=....

Использую CORS, конфиг:

    'supportsCredentials' => true,
    'allowedOrigins' => ['*'],
    'allowedHeaders' => ['*'],
    'allowedMethods' => ['*'], // ex: ['GET', 'POST', 'PUT',  'DELETE']
    'exposedHeaders' => [],
    'maxAge' => 0,
    'hosts' => [],

В config/session.php:

'driver'    => 'file',
'lifetime'  => '120',
'expire_on_close' => false,
'encrypt' => false,
'files' => 'framework/sessions',
'secure' => false
'http_only' => false,
'same_site' => 'lax',

Перерыл много инфы, но так и не нашел ответ на свой вопрос, буду очень благодарен за помощь