$post['Post']['title']はh()で囲ってサニタイズしたほうが良いです。
タイトルにJavaScriptを仕込まれるとここで発動してしまうので。
（試しにタイトルに<script>alert('hoge');</script>って入れて保存してみると挙動がわかると思います）