wenn Du das an den Browser schickst und der User z.B. "<script>alert('test')</script>" eingibt, bekommt der User die JavaScript-Fehlermeldung. Das kann man natürlich noch ganz anders ausnutzen: Seiten in ein iframe packen u.ä.

Alles was auf der HTML-Seite ausgegeben werden soll, sollte entsprechend escaped werden (bei HTML::Template::Compiled empfiehlt es sich z.B. default_escape zu benutzen).