Đánh giá Coder

Gói & bảng giá

Giá được xác minh lần cuối 11 thg 11, 2026

Giới hạn gói miễn phí

Bản Community miễn phí, giấy phép AGPL-3.0, tối đa 5 Coder Agents đang hoạt động và 1 tích hợp nền tảng.

Dùng thử

Không có dùng thử

Ứng dụng thay thế Coder

7,9/10

GitHub

Lưu mã nguồn, duyệt code, chạy CI/CD và dùng Copilot trên cùng một nền tảng

Freemium

7,5/10

Docker

Công cụ container phổ biến nhất của lập trình viên, nay thêm mảng cho agent AI

Freemium

Tranh cãi & sự cố

Các vụ việc được báo chí, cơ quan quản lý, tòa án hoặc chính hãng ghi nhận. Mỗi mục đều có nguồn; cáo buộc chưa được xác minh được ghi rõ là cáo buộc. Rà soát lần cuối: 11 thg 11, 2026

• Ảnh hưởng vừaĐã xác nhậnBảo mật · 1 thg 10, 2026

  Nhiều advisory bảo mật mức High và Moderate cuối năm 2026

  Trang đầu danh sách advisory của coder/coder có 10 mục công bố từ 27/10 đến 11/11/2026, trong đó hai mục mức High liên quan tới lộ token phiên và mật khẩu cơ sở dữ liệu tạm.

  Xem đầy đủ

  Theo trang advisory GitHub của dự án, các mục gồm: token phiên bị gửi tới host bất kỳ qua dashboard web với ứng dụng ngoài của sub-agent (High, 27/10/2026), mật khẩu cơ sở dữ liệu tạm khi dùng xác thực AWS IAM có thể lộ trong thông báo lỗi API (High, 11/11/2026), cùng nhiều mục mức Moderate hoặc Low. Đây là advisory do chính dự án công bố; trang danh sách không mô tả việc bị khai thác thực tế hay bản vá cho từng mục.

  Phản hồi của hãng

  Dự án tự công bố các advisory trên GitHub.

  Nguồn:coder/coder security advisories (GitHub)

• Ảnh hưởng caoĐã xử lýBảo mật · 31 thg 8, 2026

  Registry module bị chiếm quyền, phát tán module Terraform độc hại

  Theo Coder, một khóa API Cloudflare bị chiếm và một phần lưu lượng registry.coder.com bị chuyển sang máy chủ của kẻ tấn công trong khoảng 14 giờ. Coder cho biết đã xử lý ngay trong ngày.

  Xem đầy đủ

  Coder cho biết từ 07:35 đến 21:45 UTC ngày 31/8/2026, một bên không được phép đã dùng khóa API Cloudflare bị lộ để chuyển một phần lưu lượng tới máy chủ phát module đã bị sửa, nhằm thu thập thông tin xác thực AWS, GCP, Azure và gửi về tên miền coder-infra.com. Theo BleepingComputer (3/9/2026), dữ liệu bị nhắm tới gồm biến môi trường của provisioner, khóa API, token OIDC và khóa SSH; Coder không có nhật ký phía kẻ tấn công nên không thể xác định hết các triển khai bị ảnh hưởng. Coder nói mã nguồn và hạ tầng Google Cloud của hãng không bị xâm phạm, và đơn vị bên ngoài Coalition Incident Response đã xác nhận đánh giá của Coder về phạm vi sự cố. Coder khuyên nâng cấp lên bản vá và thay mới mọi thông tin xác thực có thể đã lộ.

  Phản hồi của hãng

  Coder cho biết đã khắc phục hoàn toàn trong ngày: gỡ IP độc hại, xóa bộ nhớ đệm, phát hành bản vá, công bố advisory GHSA-vx42-ghc9-gw65 và mời đọc báo cáo của đơn vị rà soát độc lập.

  Nguồn:Coder blog: Registry security incidentBleepingComputer (2026-09-03)

• Ảnh hưởng vừaĐã xử lýBảo mật · 19 thg 5, 2026

  Lỗi nghiêm trọng bỏ qua xác thực chữ ký Azure instance identity (CVE-2026-46354)

  Advisory trên GitHub xếp mức Critical cho lỗi giúp kẻ tấn công lấy token của agent mà không cần xác thực, trên các template dùng Azure instance identity. Đã có bản vá và cách tạm tránh.

  Xem đầy đủ

  Theo advisory GHSA-6x44-w3xg-hqqf công bố ngày 19/5/2026, hàm azureidentity.Validate() không kiểm tra chữ ký PKCS#7, nên ai biết vmId của workspace đều có thể lấy token phiên của agent. Advisory lưu ý vmId là UUID nên thường cần có quyền truy cập từ trước. Cách tạm tránh là chuyển template Azure sang xác thực bằng token; lỗi đã được sửa trong các bản 2.33.3, 2.32.2, 2.31.12, 2.30.8, 2.29.13 và 2.24.5.

  Phản hồi của hãng

  Dự án công bố advisory, bản vá và cách tránh.

  Nguồn:GitHub advisory GHSA-6x44-w3xg-hqqf