تقوم الدالة `strip tags()` في Action View بإرجاع مخرجات منقحة معلمة بأنها `html safe` ، ولكن أداة التنقية الأساسية تقوم بتشفير &, < و > فقط، وتترك علامات الاقتباس المزدوجة (") وعلامات الاقتباس المفردة (') غير مشفرة. نظرًا لأن ERB لا يقوم بتهريب السلاسل النصية المعلمة بأنها `html safe` ، فإن المدخلات غير الموثوقة التي تمر عبر `strip tags()` ويتم عرضها داخل قيمة سمة HTML مقتبسة (مثل سمة title أو علامة `<meta content>`) قد تسمح للمهاجم بإغلاق السمة وإضافة سمات جديدة، مما قد يؤدي إلى Cross-Site Scripting (XSS)، وهي تقنية تستخدم لحقن نصوص برمجية خبيثة في صفحات الويب. المخرجات التي يتم عرضها كمحتوى عنصر لا تتأثر.