Некорректно используется сама модель MVC: в частности, в контроллерах *Admin присутствует всего один метод actionIndex(). Так проще обращаться c json-ом, передавая в post-параметрах действие, которое необходимо совершить, но лучше все-таки использовать для каждого действия с моделью свой отдельный путь — легче дебажить, легче ориентироваться в коде, легче переиспользовать код, легко потом прикрутить какой-нибудь backbone с использованием уже почти готового restful api
Не нашли валидации приходящих с клиента данных (возможно, не там искали) — насколько помню, в Yii что-то было. По исходникам Yii я не вижу в QueryBuilder'e какой-либо проверки данных в условии запроса — есть вероятность sql-инъекции.
if-ы можно разворачивать, чтобы избежать больших уровней вложенности и повышать читабельность кода. Существенно поможет писать код позднее, если ветки условий будут разрастаться.