'sort' => array('defaultOrder' => 't.menu_order DESC, t.creation_date DESC'), 
а точнее 't.menu_order DESC, t.creation_date DESC' - это SQL и он передается as is. Экранируются только те вещи, которые передаются через findBy или созданные мастерами CDbCriteria. В этом легко убедиться включив профайлер запросов.