{"version":1,"type":"app-review","editorialAuthor":"AppDuo Editorial Team","slug":"coderabbit","name":"CodeRabbit","aliases":["Code Rabbit","coderabbit.ai"],"pages":{"vi":"https://app-duo.com/apps/coderabbit","en":"https://app-duo.com/en/apps/coderabbit"},"data":"https://app-duo.com/data/apps/coderabbit.json","reviewMethod":"research","reviewMethodNote":"Prepared by the AppDuo Editorial Team using cited sources. Consult the review record for the documented scope of product experience.","lastVerifiedAt":"2026-11-11","firstPublishedAt":"2026-11-11","dateModified":"2026-11-11","product":{"website":"https://www.coderabbit.ai","developer":"CodeRabbit Inc.","developerCountry":"US","launchYear":2023,"status":"active","categories":[{"slug":"development","name":{"vi":"Lập trình","en":"Development"}}],"platforms":["web","browser-extension"],"interfaceLanguages":["en"],"capabilities":["ai","integrations","collaboration","self-host","api"],"integrations":["GitHub","GitLab","Bitbucket","Azure DevOps","Jira","Linear","Slack","VS Code","JetBrains"],"support":["email","docs"]},"tagline":{"vi":"AI review pull request tự động, miễn phí cho repo công khai","en":"AI pull request reviews, free for public repositories"},"useCases":{},"verdict":{"vi":"CodeRabbit hợp với nhóm lập trình có nhiều PR và muốn thêm một lượt review tự động trên GitHub, GitLab, Bitbucket hoặc Azure DevOps. Đổi lại, giá tính theo đầu người, mỗi gói giới hạn số repo và lượt review, và năm 2025 dịch vụ từng gặp một lỗ hổng bảo mật nghiêm trọng (đã vá).","en":"CodeRabbit suits teams with a heavy pull request load that want an automated review pass on GitHub, GitLab, Bitbucket or Azure DevOps. The trade-offs are per-developer pricing, per-plan caps on repos and reviews, and a serious 2025 security flaw that has since been fixed."},"bestFor":{"vi":["Nhóm có nhiều PR, cần AI review trước khi người duyệt vào xem","Dự án mã nguồn mở công khai (review miễn phí)"],"en":["Teams with many PRs wanting an AI review before human sign-off","Public open-source projects (reviewed for free)"]},"notFor":{"vi":["Nhóm không muốn mã rời khỏi hạ tầng của mình nhưng không mua gói Enterprise","Lập trình viên cá nhân có repo riêng tư và ngân sách eo hẹp"],"en":["Teams that cannot let code leave their infrastructure but will not buy Enterprise","Solo developers with private repos on a tight budget"]},"pros":{"vi":[{"text":"Chạy trên GitHub, GitLab, Bitbucket và Azure DevOps","sourceIds":[]},{"text":"Repo công khai được review miễn phí","sourceIds":[]},{"text":"Có tiện ích VS Code (dùng được trong Cursor, Windsurf), plugin JetBrains (beta) và CLI","sourceIds":[]},{"text":"Dùng thử 14 ngày; chỉ tính tiền người có tạo PR","sourceIds":[]}],"en":[{"text":"Works with GitHub, GitLab, Bitbucket and Azure DevOps","sourceIds":[]},{"text":"Free reviews for public repositories","sourceIds":[]},{"text":"VS Code extension (also in Cursor and Windsurf), JetBrains plugin (beta) and CLI","sourceIds":[]},{"text":"14-day trial; billed only for developers who open PRs","sourceIds":[]}]},"cons":{"vi":[{"text":"Từ 24 USD/người/tháng (trả theo năm); repo riêng tư không có gói miễn phí","sourceIds":[]},{"text":"Mỗi gói giới hạn số repo liên kết và lượt review mỗi giờ","sourceIds":[]},{"text":"Năm 2025 từng có lỗ hổng cho phép chạy mã từ xa trên máy chủ (đã vá)","sourceIds":[]},{"text":"Đánh giá người dùng thấp: 2,1/5 trên Trustpilot (10 lượt), 3,7/5 trên VS Code Marketplace (28 lượt)","sourceIds":[]}],"en":[{"text":"From 24 USD/developer/month billed yearly; no free tier for private repos","sourceIds":[]},{"text":"Each plan caps linked repos and reviews per hour","sourceIds":[]},{"text":"A 2025 remote code execution flaw on its servers (patched)","sourceIds":[]},{"text":"Weak user ratings: 2.1/5 on Trustpilot (10 reviews), 3.7/5 on the VS Code Marketplace (28 ratings)","sourceIds":[]}]},"scores":{"overall":6.8,"scale":10,"criteria":[{"criterion":"ease-of-use","score":7.5,"rationale":{"vi":"Cài thẳng vào GitHub, GitLab, Bitbucket, Azure DevOps và có tiện ích cho IDE; các trang đã đọc chỉ có giao diện tiếng Anh.","en":"Installs straight into the major git platforms and has IDE extensions; the pages reviewed show an English-only interface."},"sourceIds":[]},{"criterion":"features","score":8,"rationale":{"vi":"Review PR, chat, kiểm tra trước khi merge, tạo unit test (từ gói Team), review bảo mật liên tục (từ Advanced), tự host (Enterprise).","en":"PR review, chat, pre-merge checks, unit test generation (Team and up), continuous security review (Advanced and up), self-hosting (Enterprise)."},"sourceIds":[]},{"criterion":"value","score":6.5,"rationale":{"vi":"24–72 USD/người/tháng khi trả theo năm, kèm giới hạn repo và lượt review; vượt hạn mức tính 0,25 USD mỗi file. Repo công khai miễn phí.","en":"24–72 USD/developer/month billed yearly, with repo and review caps and 0.25 USD per file beyond them; free for public repos."},"sourceIds":[]},{"criterion":"performance","score":6.5,"rationale":{"vi":"Các số liệu hiệu quả đều do CodeRabbit tự công bố, chưa có kiểm chứng độc lập; đánh giá người dùng ở mức trung bình đến thấp (3,7/5 trên VS Code Marketplace, 2,1/5 trên Trustpilot với ít lượt).","en":"Effectiveness figures are vendor-reported with no independent verification; user ratings are middling to low (3.7/5 on the VS Code Marketplace, 2.1/5 on Trustpilot from few reviews)."},"sourceIds":[]},{"criterion":"support","score":6,"rationale":{"vi":"Có tài liệu và email; cam kết SLA hỗ trợ và chăm sóc khách hàng riêng chỉ có ở Enterprise.","en":"Docs and email; a support SLA and dedicated customer success are Enterprise-only."},"sourceIds":[]},{"criterion":"privacy","score":6.2,"rationale":{"vi":"Cam kết không huấn luyện bằng mã khách hàng (trừ mã nguồn mở), có thể tắt lưu dữ liệu, chính sách nêu tuân thủ SOC 2 Type II; nhưng mã được gửi cho OpenAI/Anthropic và lỗ hổng năm 2025 từng làm lộ khóa GitHub App (đã vá).","en":"Pledges no training on customer code (open source excepted), offers a retention opt-out and the policy cites SOC 2 Type II compliance; but code goes to OpenAI/Anthropic and the 2025 flaw exposed its GitHub App key (since fixed)."},"sourceIds":[]}]},"pricing":{"model":"freemium","currency":"USD","startingPrice":0,"startingPriceByCurrency":{"USD":{"price":0,"audience":"personal"}},"plans":[{"name":"Open source","audience":"personal","priceMonthly":0,"priceYearlyPerMonth":0,"unit":"flat","limits":{"vi":"Review miễn phí, không thời hạn cho repo công khai.","en":"Free reviews for public repositories, with no time limit."},"sourceIds":["s2"]},{"name":"Essentials","audience":"business","priceMonthly":30,"priceYearlyPerMonth":24,"unit":"per-user","limits":{"vi":"1 repo liên kết, 5 lượt review PR mỗi lập trình viên mỗi giờ, 5 kết nối MCP.","en":"1 linked repo, 5 PR reviews per developer per hour, 5 MCP connections."},"sourceIds":["s2"]},{"name":"Team","audience":"business","priceMonthly":60,"priceYearlyPerMonth":48,"unit":"per-user","limits":{"vi":"5 repo liên kết, 8 lượt review PR mỗi lập trình viên mỗi giờ, 10 kết nối MCP; có thêm tạo unit test, hàng đợi Triage và 10 bước kiểm tra tùy chỉnh trước khi merge.","en":"5 linked repos, 8 PR reviews per developer per hour, 10 MCP connections; adds unit test generation, the Triage queue and 10 custom pre-merge checks."},"sourceIds":["s2"]},{"name":"Advanced","audience":"business","priceMonthly":90,"priceYearlyPerMonth":72,"unit":"per-user","limits":{"vi":"10 repo liên kết, 10 lượt review PR mỗi lập trình viên mỗi giờ, 15 kết nối MCP; có thêm review bảo mật liên tục và xếp ưu tiên PR theo rủi ro bảo mật.","en":"10 linked repos, 10 PR reviews per developer per hour, 15 MCP connections; adds continuous security review and security-informed PR prioritisation."},"sourceIds":["s2"]},{"name":"Enterprise","audience":"business","priceMonthly":null,"priceYearlyPerMonth":null,"unit":"per-user","limits":{"vi":"Giá theo báo giá: 20 repo liên kết, 12 lượt review mỗi lập trình viên mỗi giờ, SSO, phân quyền tùy chỉnh, nhật ký kiểm tra (audit log), API, tự host và cam kết SLA hỗ trợ.","en":"Quote-based: 20 linked repos, 12 reviews per developer per hour, SSO, custom roles, audit logs, API access, self-hosting and a support SLA."},"sourceIds":["s2"]}],"vietnamPlans":[],"vietnamPricingSource":null,"usdPlans":[],"usdPricingSource":null,"freeLimits":{"vi":"Repo công khai được review miễn phí; repo riêng tư phải dùng gói trả phí.","en":"Public repositories are reviewed for free; private repos need a paid plan."},"trialDays":14,"trialCardRequired":false,"refund":{"vi":"Trang giá không nhắc đến hoàn tiền. Nâng gói có hiệu lực ngay và tính phí theo số ngày còn lại; hạ gói áp dụng từ cuối kỳ thanh toán.","en":"The pricing page does not mention refunds. Upgrades apply immediately with prorated billing; downgrades take effect at the end of the billing cycle."},"pricingUrl":"https://www.coderabbit.ai/pricing","sourceIds":["s2"]},"privacy":{"vi":"Chính sách quyền riêng tư cho biết CodeRabbit, OpenAI và Anthropic không dùng mã của khách hàng để huấn luyện mô hình, nhưng cam kết này không áp dụng cho dự án mã nguồn mở: CodeRabbit ghi rõ có dùng mã nguồn mở để huấn luyện hệ thống. Mã được gửi tới OpenAI và/hoặc Anthropic để review. Dữ liệu lưu lại để cải thiện review (chủ yếu là vector nhúng của mã và \"Learnings\") có thể tắt; theo chính sách, kho lưu trữ này tuân thủ SOC 2 Type II, GDPR và HIPAA. Máy chủ xử lý dữ liệu cá nhân đặt tại Mỹ. Muốn tắt hoàn toàn việc lưu dữ liệu thì phải tự host, chỉ có ở gói Enterprise.","en":"The privacy policy says CodeRabbit, OpenAI and Anthropic do not train models on customer code, but that commitment excludes open-source projects: CodeRabbit states it uses open-source code to train its systems. Code is sent to OpenAI and/or Anthropic for reviews. Data kept to improve reviews (mainly code embeddings and Learnings) can be opted out of, and the policy says this storage is compliant with SOC 2 Type II, GDPR and HIPAA. Servers processing personal data are in the United States. Opting out of all retention requires self-hosting, which is Enterprise-only."},"controversies":{"researchedAt":"2026-11-11","items":[{"date":"2025-08-01","kind":"security","severity":"medium","status":"resolved","title":{"vi":"Kudelski Security công bố lỗ hổng cho phép chạy mã từ xa","en":"Remote code execution flaw published by Kudelski Security"},"summary":{"vi":"Theo Kudelski Security, một PR độc hại có thể chạy mã trên máy chủ CodeRabbit và lấy được khóa riêng của GitHub App. CodeRabbit cho biết đã vá trong vòng 12 giờ và không thấy dấu hiệu dữ liệu khách hàng bị truy cập.","en":"Kudelski Security reported that a malicious PR could run code on CodeRabbit servers and expose its GitHub App private key. CodeRabbit says it shipped a fix within 12 hours and found no evidence of customer data access."},"details":{"vi":"Kudelski báo lỗi ngày 24/1/2025, rồi công bố bài phân tích ngày 19/8/2025 cùng lúc trình bày tại Black Hat USA 2025. Theo nhóm nghiên cứu, công cụ RuboCop chạy ngoài môi trường cô lập (sandbox) nên họ đọc được các biến môi trường, trong đó có khóa API của OpenAI, Anthropic và khóa riêng của GitHub App. Họ cho rằng khóa này có thể cấp quyền ghi vào mọi repo đã cài ứng dụng, nhưng chỉ thử trên vài bản cài đặt; con số 1 triệu repo lấy từ website của CodeRabbit. CodeRabbit thừa nhận đây là \"an oversight on our part\": trong 1 giờ tắt RuboCop, trong 3 giờ thay toàn bộ khóa liên quan, trong 12 giờ đưa bản vá chuyển RuboCop vào sandbox lên production, sau đó rà soát hệ thống và thêm bước kiểm soát khi triển khai.","en":"Kudelski reported the issue on 24 Jan 2025 and published its write-up on 19 Aug 2025 alongside a Black Hat USA 2025 talk. The researchers said RuboCop ran outside the sandbox, letting them read environment variables including OpenAI and Anthropic API keys and the GitHub App private key. They assessed that the key could grant write access to repositories that had installed the app, but tested only a couple of installations; the 1M repository figure comes from CodeRabbit's website. CodeRabbit called it \"an oversight on our part\": it disabled RuboCop within 1 hour, rotated the affected credentials within 3 hours and shipped a fix moving RuboCop into the sandbox within 12 hours, then audited its services and added deployment gates."},"vendorResponse":{"vi":"CodeRabbit cho biết cuộc điều tra không tìm thấy bằng chứng dữ liệu khách hàng bị truy cập hay có hoạt động độc hại.","en":"CodeRabbit says its investigation found no evidence that customer data was accessed or that any malicious activity occurred."},"sources":[{"label":"CodeRabbit: response to the January 2025 Kudelski disclosure","url":"https://coderabbit.ai/blog/our-response-to-the-january-2025-kudelski-security-vulnerability-disclosure-action-and-continuous-improvement","kind":"official"},{"label":"Kudelski Security: how we exploited CodeRabbit","url":"https://kudelskisecurity.com/research/how-we-exploited-coderabbit-from-a-simple-pr-to-rce-and-write-access-on-1m-repositories","kind":"press"}],"sourceIds":["s5","s6"]}]},"userRatings":[{"source":"Trustpilot","rating":2.1,"outOf":5,"count":10,"url":"https://www.trustpilot.com/review/coderabbit.ai","checkedAt":"2026-11-11","sourceIds":["s9"]},{"source":"Visual Studio Marketplace (VS Code extension)","rating":3.7,"outOf":5,"count":28,"url":"https://marketplace.visualstudio.com/items?itemName=CodeRabbit.coderabbit-vscode","checkedAt":"2026-11-11","sourceIds":["s10"]}],"history":[{"date":"2025-01-24","type":"other","note":{"vi":"Kudelski Security báo lỗ hổng cho CodeRabbit qua kênh tiếp nhận báo cáo lỗ hổng; ngày 30/1/2025 CodeRabbit xác nhận đã vá.","en":"Kudelski Security reported a vulnerability through CodeRabbit's disclosure program; the fix was confirmed on 30 Jan 2025."},"sourceIds":["s6"]},{"date":"2025-09-16","type":"company","note":{"vi":"Gọi vốn Series B 60 triệu USD, định giá 550 triệu USD, do Scale Venture Partners dẫn đầu.","en":"Announced a 60M USD Series B at a 550M USD valuation led by Scale Venture Partners."},"sourceIds":["s7"]},{"date":"2026-08-12","type":"company","note":{"vi":"Gọi vốn Series C 143 triệu USD, định giá 1,5 tỷ USD, do Atomico và Smash Capital đồng dẫn đầu.","en":"Announced a 143M USD Series C at a 1.5B USD valuation, co-led by Atomico and Smash Capital."},"sourceIds":["s8"]}],"review":{"vi":"CodeRabbit là công cụ dùng AI để review pull request. Theo trang chủ, công cụ tự review mọi PR, chấm điểm và xếp hạng PR theo mức rủi ro, giải thích các diff lớn và quét lỗ hổng bảo mật. CodeRabbit cho biết có 17.000 khách hàng và 6 triệu repo; đây là số liệu do chính hãng công bố.\nTheo tài liệu, CodeRabbit cài được trên GitHub, GitLab, Bitbucket và Azure DevOps. Tiện ích VS Code dùng được cả trong Cursor và Windsurf, còn plugin JetBrains đang ở bản beta. Gói Enterprise có thêm tự host, SSO và nhật ký kiểm tra.\nGiá niêm yết tính theo người có tạo PR: Essentials 30 USD/tháng (24 USD nếu trả theo năm), Team 60 USD (48 USD), Advanced 90 USD (72 USD). Lượt review vượt hạn mức tính 0,25 USD mỗi file. Repo công khai được review miễn phí, các gói trả phí có 14 ngày dùng thử. Trang giá không nhắc đến hoàn tiền.\nKhác với trợ lý viết mã như GitHub Copilot hay Cursor, CodeRabbit chỉ lo khâu review PR. Trước khi chọn, nên cân nhắc hai điểm: mã sẽ được gửi tới nhà cung cấp mô hình AI, và lỗ hổng năm 2025 do Kudelski Security công bố (đã vá).","en":"CodeRabbit is an AI pull request review tool. According to its homepage it reviews every PR automatically, scores and ranks PRs by risk, explains large diffs and runs security scans. The company cites 17K customers and 6M repositories; these are vendor-reported figures.\nThe docs say CodeRabbit installs on GitHub, GitLab, Bitbucket and Azure DevOps, with a VS Code extension that also runs in Cursor and Windsurf and a JetBrains plugin in beta. Enterprise adds self-hosting, SSO and audit logs.\nList prices are per developer who opens PRs: Essentials 30 USD/month (24 USD billed yearly), Team 60 USD (48 USD), Advanced 90 USD (72 USD). Reviews beyond the allowance cost 0.25 USD per file. Public repos are free and paid plans have a 14-day trial. The pricing page does not mention refunds.\nUnlike coding assistants such as GitHub Copilot or Cursor, CodeRabbit focuses on PR review rather than writing code. Two points to weigh: code is sent to AI model providers, and the 2025 flaw published by Kudelski Security (since patched)."},"faq":{"vi":[{"question":"CodeRabbit có miễn phí không?","answer":"Repo công khai được review miễn phí. Repo riêng tư cần gói trả phí, rẻ nhất 24 USD/người/tháng khi trả theo năm; có 14 ngày dùng thử."},{"question":"CodeRabbit có dùng mã của tôi để huấn luyện AI không?","answer":"Theo chính sách quyền riêng tư và tài liệu, mã của khách hàng không được dùng để huấn luyện. Riêng mã nguồn mở là ngoại lệ: CodeRabbit ghi rõ có dùng để huấn luyện hệ thống."},{"question":"CodeRabbit dùng được với nền tảng nào?","answer":"GitHub, GitLab, Bitbucket và Azure DevOps; ngoài ra có tiện ích VS Code và plugin JetBrains (beta)."},{"question":"CodeRabbit có tự host được không?","answer":"Được, nhưng chỉ ở gói Enterprise theo tài liệu chính thức."}],"en":[{"question":"Is CodeRabbit free?","answer":"Public repositories are reviewed for free. Private repos need a paid plan from 24 USD/developer/month billed yearly, with a 14-day trial."},{"question":"Does CodeRabbit train on my code?","answer":"Per its privacy policy and docs, customer code is not used for training. Open-source code is the exception: CodeRabbit says it uses it to train its systems."},{"question":"Which platforms does CodeRabbit support?","answer":"GitHub, GitLab, Bitbucket and Azure DevOps, plus a VS Code extension and a JetBrains plugin (beta)."},{"question":"Can CodeRabbit be self-hosted?","answer":"Yes, on the Enterprise plan only, per the official docs."}]},"disclosure":{"sponsored":false,"affiliateLink":false,"note":{}},"citation":{"publisher":"AppDuo","author":"AppDuo Editorial Team","title":"CodeRabbit review","url":"https://app-duo.com/apps/coderabbit","dateModified":"2026-11-11"},"sources":[{"id":"s1","label":"Official homepage","url":"https://www.coderabbit.ai","kind":"official","checkedAt":"2026-11-11"},{"id":"s2","label":"Official pricing page","url":"https://www.coderabbit.ai/pricing","kind":"official","checkedAt":"2026-11-11"},{"id":"s3","label":"Official docs: FAQ and data handling","url":"https://docs.coderabbit.ai/faq","kind":"official","checkedAt":"2026-11-11"},{"id":"s4","label":"Official privacy policy","url":"https://www.coderabbit.ai/privacy-policy","kind":"official","checkedAt":"2026-11-11"},{"id":"s5","label":"CodeRabbit: response to the January 2025 Kudelski disclosure","url":"https://coderabbit.ai/blog/our-response-to-the-january-2025-kudelski-security-vulnerability-disclosure-action-and-continuous-improvement","kind":"official","checkedAt":"2026-11-11"},{"id":"s6","label":"Kudelski Security: how we exploited CodeRabbit","url":"https://kudelskisecurity.com/research/how-we-exploited-coderabbit-from-a-simple-pr-to-rce-and-write-access-on-1m-repositories","kind":"press","checkedAt":"2026-11-11"},{"id":"s7","label":"CodeRabbit newsroom: Series B","url":"https://www.coderabbit.ai/newsroom/coderabbit-series-b-60-million","kind":"official","checkedAt":"2026-11-11"},{"id":"s8","label":"CodeRabbit newsroom: Series C","url":"https://www.coderabbit.ai/newsroom/coderabbit-series-c-agentic-change-management","kind":"official","checkedAt":"2026-11-11"},{"id":"s9","label":"Trustpilot: CodeRabbit","url":"https://www.trustpilot.com/review/coderabbit.ai","kind":"review-site","checkedAt":"2026-11-11"},{"id":"s10","label":"Visual Studio Marketplace: CodeRabbit extension","url":"https://marketplace.visualstudio.com/items?itemName=CodeRabbit.coderabbit-vscode","kind":"store","checkedAt":"2026-11-11"}]}