A função `strip tags()` no Action View retorna a saída sanitizada marcada como `html safe`, mas o sanitizador subjacente codifica apenas &, < e >, deixando aspas duplas (") e aspas simples (') não codificadas. Como o ERB não escapa strings marcadas como `html safe`, entradas não confiáveis processadas por `strip tags()` e renderizadas dentro de um valor de atributo HTML entre aspas (como um atributo title ou uma tag `<meta content>`) podem permitir que um invasor feche o atributo e adicione novos atributos, possivelmente levando ao Cross-Site Scripting (XSS), que é uma técnica usada para injetar scripts maliciosos em páginas da web. A saída renderizada como conteúdo de elemento não é afetada.