yii 1.1.25非官方版本，无cve编号；实际风险源于旧架构未修复缺陷及误信“升级即安全”；应停用1.1.x、升级至yii 3.x或2.0.45+，或实施临时加固措施。
Yii 1.1.25 本身不是官方发布的正式版本，当前 Yii 1.1 的最后一个稳定版是 1.1.24（发布于 2021 年），而 1.1.25 属于社区非官方打包或误传版本，未被 Yii 官方维护、不提供安全支持。因此，所谓“Yii 1.1.25 输入过滤漏洞”并不存在于官方安全公告中，也无对应 CVE 编号。
实际风险往往来自两个层面：
-
项目自行升级了非官方补丁但未彻底修复逻辑（如仅改了某处
filter方法，却遗漏CActiveForm、CHtml::encode调用上下文或 AJAX 场景）； -
更常见的是：开发者误以为升级到“1.1.25”就安全了，实则仍运行在 1.1.x 旧架构上，而该系列本身已停止维护，存在多个已知未修复的输入处理缺陷（如
CFilterChain绕过、CUrlManager规则解析歧义、CGridView数据渲染未自动转义等）。
所以，修复的关键不是找“1.1.25 补丁”，而是采取实效性措施：
立即停用所有 1.1.x 分支
Yii 1.1 自 2022 年起已 EOL（End-of-Life），官方明确不再修复任何漏洞，包括 XSS、SQL 注入前置条件、路径遍历辅助向量等。-
升级至受支持的框架版本
- 优先迁移到 Yii 3.x（完全重写，基于 PSR 标准，内置参数绑定、自动输出编码、独立安全组件）；
- 若短期无法重构，可过渡到 Yii 2.0.45+（LTS 版本，支持至 2025 年底），它已修复 1.1 中大量输入过滤缺陷，例如：
-
Html::encode()默认启用上下文感知转义； -
ActiveRecord::findBySql()强制要求参数化； - 表单验证器（如
filter,trim,safe）执行顺序可控且不可绕过。
-
-
临时加固（仅限无法立即升级的生产系统）
- 全局拦截
$_GET/$_POST/$_REQUEST，对所有字符串值强制调用htmlspecialchars($val, ENT_QUOTES, 'UTF-8')（注意：不能替代模板层编码，仅作兜底）； - 禁用
eval()、create_function()及所有动态类名反射调用； - 在入口脚本
index.php顶部添加：ini_set('display_errors', '0'); error_reporting(0);防止错误信息泄露路径、变量名等敏感上下文；
- 检查所有
CController::render()调用，确保视图中用户数据均经CHtml::encode()或<?php echo CHtml::encode($var); ?>输出——Yii 1.1 不会自动转义变量，必须显式调用。
- 全局拦截
本质上，这不是一个“打补丁就能解决”的问题，而是技术栈生命周期管理问题。继续使用 1.1.x，等于主动维持一个已知高危面。
